questionário quer saber quais serviços em nuvem usamos para nossos dados

Fornecedores de cloud fazem parte da questão da cadeia

A questão sobre serviços em nuvem utilizados encontra-se na maioria dos questionários sob o tema mais amplo de gestão de fornecedores, não sob uma secção separada de "cloud". O cliente deseja saber se a sua empresa tem visibilidade sobre onde os dados comerciais estão armazenados e quem pode aceder a eles. Resposta concreta: indique os fornecedores que processam dados pessoais ou dados críticos para o negócio (pense nos grandes hyperscalers, mas também um programa de contabilidade ou CRM na nuvem contam), e indique se há acordos contratuais sobre segurança associados.

Uma resposta completa consiste em duas partes: o nome do fornecedor e a prova de que gere essa relação. Esta segunda parte é onde a maioria das empresas fica presa — não porque não utilizam serviços em nuvem, mas porque não têm uma visão geral de que acordos foram documentados sobre isso. Se essa visão geral não existir, "ainda a determinar" é uma resposta mais honesta do que enumerar uma lista sem fundamentação. Este assunto aborda diretamente a questão de a organização estabelece requisitos de segurança para os seus próprios fornecedores: um fornecedor de cloud é nesse sentido simplesmente um fornecedor, e os requisitos que se aplicam — contratos, acordos de nível de serviço, acordos de incidente — são exatamente o que aqui se solicita.

Onde consta na diretiva: artigo 21.º, n.º 2

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona a segurança da cadeia de abastecimento, incluindo a relação entre cada entidade e os seus fornecedores diretos, como uma das dez medidas obrigatórias. Os fornecedores de cloud enquadram-se nesta cadeia. A norma ISO/IEC 27001 desenvolve isto no Anexo A, onde as relações com fornecedores e a gestão de ativos — incluindo dados em terceiros — estão explicitamente mencionados; quem já tem um processo para política de acesso e gestão de ativos, geralmente já documentou também quais serviços em nuvem se enquadram nele. A Lei de Cibersegurança assume este requisito assim que entra em vigor.