Zákazník sa pýta na bezpečnosť nášho cloudového poskytovateľa, ako mám odpovedať

Poskytovateľ cloudových služieb spadá pod článok 21 odsek 2 písmeno d

Odpovedzte tým, čo viete skutočne podložiť: zmluvné dohody so svojím poskytovateľom cloudových služieb o zabezpečení a prípadne certifikát alebo správu o audite, ktorú vám poskytovateľ poskytol. Otázka o zabezpečení vášho poskytovateľa cloudových služieb spadá do kategórie zabezpečenia dodávateľa: článok 21 odsek 2 písmeno d NIS2 výslovne spomína zabezpečenie dodávateľskej reťaze vrátane vzťahu s poskytovateľmi cloudových služieb. Váš dossier teda nemusí dokazovať zabezpečenie samotného poskytovateľa cloudových služieb — to robí sám poskytovateľ prostredníctvom svojho vlastného certifikátu alebo správy o transparentnosti. Čo musíte vedieť preukázať, je, že ste toto zabezpečenie skúmali predtým, ako ste službu prevzali, a že to periodicky opakujete.

Ak nemáš tento dôkaz — žiadnu kópiu certifikátu ISO 27001 od dodávateľa, žiadnu správu SOC 2, žiadnu klauzulu v zmluve o povinnosti hlásiť incidenty — potom je "nie" alebo "nie je preukázané" správna odpoveď, aj keď máš dôvod dodávateľovi dôverovať. Dôvera nie je dôkazný prostriedok. Prakticky: požiadaj o tento dôkaz u dodávateľa (väčšie cloudové spoločnosti majú to zvyčajne štandardne dostupné v centre dôvery alebo podobnom portáli) a ulož si ho do svojho reťazového spisu, akonáhle ho budeš mať. Rovnaká otázka často súvisí s bezpečnostnými požiadavkami, ktoré sám stanovuješ dodávateľom — ak si tam už zavedbore politiku, je cloudový poskytovateľ konkrétnym príkladom z toho.

Kde sa to nachádza v desiatich opatreniach

Článok 21 odsek 2 NIS2 uvádza desať opatrení, ktoré musí subjekt prijať; bod d sa konkrétne týka bezpečnosti dodávateľského reťazca s výslovným odkazom na bezpečnostné aspekty vzťahov s dodávateľmi. ISO/IEC 27001 to rozpracúva v Prílohe A pod kontrolnými opatreniami pre vzťahy s dodávateľmi, kam patria aj požiadavky na cloudových a ICT poskytovateľov služieb. Ak je vaša vlastná organizácia sama subjektom podľa zákona o kybernetickej bezpečnosti, nejde o samostatnú otázku, ale o súčasť povinnosti — v prípade potreby si to overte u otázka, či vaša organizácia spadá pod NIS2.