Stranka vprašuje o varnosti naše ponudnika oblačnih storitev, kaj moram odgovoriti

Ponudnik storitev v oblaku spada pod 21. člen, odstavek 2, točka d

Odgovori s tem, kar lahko dejansko podpreš: pogodbenimi dogovori s svojim ponudnikom storitev v oblaku o varnosti in po potrebi s potrdilom ali poročilom o reviziji, ki ti ga je dal ponudnik. Vprašanje o varnosti ponudnika storitev v oblaku spada v kategorijo varnosti dobavitelja: 21. člen, odstavek 2, točka d NIS2 izrecno omenja varnost verige oskrbe, vključno s stiki s ponudniki storitev v oblaku. Vaš dossier torej ne mora dokazati varnosti samega ponudnika storitev v oblaku — to naredi sam ponudnik, prek svojega lastnega potrdila ali poročila o preglednosti. Kar morate dokazati, je, da ste to varnost preverili, preden ste prevzeli storitev, in da to periodično ponavljate.

Če tega dokazila nimate — nimate kopije potrdila ISO 27001 ponudnika, poročila SOC 2, klavzule v pogodbi o obveznosti poročanja o incidentih — potem je "ne" ali "ni dokazano" pravi odgovor, tudi če imate zaupanje v ponudnika. Zaupanje ni dokazilo. Praktično: to dokazilo še zahtevajte pri ponudniku (večji ponudniki storitev v oblaku to običajno imajo standardno na voljo v varnostnem centru ali podobnem portalu) in ga vstavite v svoj dossier verige, čim ga dobite. Isto vprašanje je pogosto povezano z varnostnimi zahtevami, ki jih sami postavite dobaviteljem — če tam že imaš zastavljeno politiko, je ponudnik storitev v oblaku konkretni primer tega.

Kje je to v desetih ukrepih

Člen 21 odstavek 2 NIS2 našteva deset ukrepov, ki jih mora sprejeti subjekt; točka d se posebej nanaša na zavarovanje dobavne verige, z izrecnim sklicevanjem na vidike varnosti odnosov s ponudniki. ISO/IEC 27001 to razvija v Prilogi A pod ukrepi nadzora za odnose s ponudniki, kamor spadajo tudi zahteve za ponudnike storitev v oblaku in ICT-storitev. Če je tvoje lastno podjetje samo subjekt po Zakonu o kibernetski varnosti, to ni samostojno vprašanje, temveč del obveznosti — po potrebi to preveri pri vprašanju, ali je tvoje podjetje zajeto v NIS2.