vprašalnik želi vedeti, katere storitve v oblaku uporabljamo za naše podatke

Ponudniki oblačnih storitev so del vprašanja v verigi

Vprašanje o uporabljenih oblačnih storitvah je v večini vprašalnikov vključeno v širšo temo upravljanja dobaviteljev, ne v ločen del »oblak«. Naročnik želi vedeti, ali ima vaše podjetje pregled nad tem, kje se nahajajo poslovni podatki in kdo je pri tem vpletен. Konkreten odgovor: navedite dobavitelje, ki obdelujejo osebne podatke ali kritične poslovne podatke (pomislite na velike ponudnike hiperskale, vendar tudi računovodski paket ali CRM v oblaku se štejeta), in navedite, ali so za to sklenjeni pogodbeni dogovori o varnosti.

Popoln odgovor sestoji iz dveh delov: ime dobavitelja in dokaz, da to razmerje upravljate. Drugi del je tisto, pri čemer se največ podjetnikov ustavи — ne zato, ker ne uporabljajo oblačnih storitev, temveč zato, ker nimajo pregleda, katere dogovore so o tem dokumentirani. Če ta pregled manjka, je »še se bo določilo« poštenejši odgovor kot seznam brez utemeljitve. Ta zadeva se neposredno dotika vprašanja, ali podjetje postavlja varnostne zahteve svojim lastnemu dobaviteljem: dobavitelj oblačnih storitev je v tem smislu zgolj dobavitelj, in zahteve, ki veljajo zanj — pogodbe, sporazumi o ravni storitev, dogovori o incidentih — so ravno tisto, kar se tukaj zahteva.

Kjer je to v direktivi: člen 21(2)

Člen 21 odstavek 2 Direktive NIS2 navaja varnost verige dobave, vključno z razmerjem med vsako entiteto in njenimi neposrednimi dobavitelji, kot eno od desetih obveznih ukrepov. Ponudniki oblačnih storitev spadajo pod to verigo. ISO/IEC 27001 to dodatno razlaga v Dodatku A, kjer so razmerja z dobavitelji in upravljanje sredstev — vključno s podatki pri tretjih osebah — izrecno navedeni; kdor ima že proces za politiko dostopa in upravljanje sredstev, ima običajno že tudi dokumentirane, katere oblačne storitve spadajo v to področje. Zakon o kibernetski varnosti prevzame to obveznost, čim zakon začne veljati.