chestionar vrea să știe ce servicii cloud folosim pentru datele noastre

Furnizorii de cloud fac parte din întrebarea lanțului

Întrebarea privind serviciile cloud utilizate se încadrează în majoritatea chestionarelor sub tema mai largă a gestionării furnizorilor, nu sub o secțiune separată de "cloud". Clientul dorește să știe dacă întreprinderea dvs. are vizibilitate asupra locului unde se află datele de afaceri și cine poate accesa acolo. Răspuns concret: enumerați furnizorii care prelucrează date cu caracter personal sau date critice pentru afaceri (gândiți-vă la marii hyperscaleri, dar și la un pachet de contabilitate sau CRM în cloud contează), și indicați dacă există acorduri contractuale privind securitatea.

Un răspuns complet constă din două părți: numele furnizorului și dovada că gestionați acea relație. A doua parte este aceea în care se blochează majoritatea antreprenorilor — nu pentru că nu folosesc servicii cloud, ci pentru că nu au o viziune de ansamblu asupra acordurilor care au fost stabilite. Dacă această viziune de ansamblu lipsește, "de determinat" este un răspuns mai onest decât o enumerare a unei liste fără justificare. Acest subiect atinge direct întrebarea dacă întreprinderea stabilește cerințe de securitate pentru proprii săi furnizori: un furnizor de cloud este în acest sens pur și simplu un furnizor, iar cerințele care se aplică acolo — contracte, acorduri privind nivelul de servicii, acorduri privind incidentele — sunt exact ceea ce se cere aici.

Unde se află aceasta în directivă: articolul 21 alineat 2

Articolul 21 alineatul 2 din Directiva NIS2 menționează securitatea lanțului de aprovizionare, inclusiv relația dintre fiecare entitate și furnizorii săi direcți, ca una dintre cele zece măsuri obligatorii. Furnizorii de servicii cloud fac parte din acel lanț. ISO/IEC 27001 detaliază acest lucru în Anexa A, unde relațiile cu furnizorii și gestionarea activelor — inclusiv datele la terți — sunt explicit menționate; cine are deja un proces pentru politica de acces și gestionarea activelor, de obicei are deja stabilit ce servicii cloud se încadrează în cadrul acestuia. Legea privind securitatea cibernetică preia această obligație de îndată ce legea intră în vigoare.