lista kontrolna chce wiedzieć, które usługi chmurowe wykorzystujemy do przechowywania naszych danych

Dostawcy usług w chmurze są częścią pytania dotyczącego łańcucha dostaw

Pytanie dotyczące używanych usług w chmurze pojawia się w większości ankiet w ramach szerszego tematu zarządzania dostawcami, a nie w osobnej sekcji dotyczącej „chmury". Klient chce wiedzieć, czy Twoja organizacja wie, gdzie znajdują się dane biznesowe i kto ma do nich dostęp. Konkretna odpowiedź: wymień dostawców przetwarzających dane osobowe lub dane krytyczne dla biznesu (pomyśl o dużych hyperscalach, ale również pakiet księgowy lub CRM w chmurze się liczą), i wskaż, czy istnieją w tym zakresie umowne ustalenia dotyczące bezpieczeństwa.

Pełna odpowiedź składa się z dwóch części: nazwy dostawcy oraz dowodu na to, że zarządzasz tą relacją. Druga część to miejsce, gdzie większość przedsiębiorców utyka — nie dlatego, że nie korzystają z usług w chmurze, ale dlatego, że nie mają przeglądu tego, jakie ustalenia zostały w tej sprawie udokumentowane. Jeśli brakuje tego przeglądu, "do określenia" to bardziej uczciwa odpowiedź niż wymienianie listy bez uzasadnienia. Ten temat bezpośrednio dotyczy kwestii, czy przedsiębiorstwo stawia wymogi bezpieczeństwa swoim własnym dostawcom": dostawca usług w chmurze jest w tym sensie zwykłym dostawcą, a wymagania, które się z tym wiążą — umowy, umowy dotyczące poziomu usług, ustalenia incydentów — to dokładnie to, o co się tu prosi.

Gdzie jest to wymienione w wytycznej: artykuł 21 ust. 2

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia bezpieczeństwo łańcucha dostaw, w tym relacje między każdym podmiotem a jej bezpośrednimi dostawcami, jako jeden z dziesięciu obowiązkowych środków. Dostawcy usług w chmurze należą do tego łańcucha. ISO/IEC 27001 rozwija to dalej w Załączniku A, gdzie wyraźnie wymienione są relacje z dostawcami i zarządzanie zasobami — w tym dane trzecich stron; jeśli masz już proces dotyczący polityki dostępu i zarządzania zasobami, to zwykle już ustaliłeś, które usługi w chmurze się w tym mieścą. Ustawa o cyberbezpieczeństwie przejęła to obowiązek, gdy tylko wejdzie w życie.