питат в коя страна се съхраняват нашите данни

Местоположението на облачното хранилище попада под защитата на веригата на доставки, а не под криптирането

Този въпрос попада под мярката за защита на веригата на доставки от член 21, параграф 2, буква д на NIS2: изискванията, които предприятието поставя на своите собствени доставчици, включително облачния доставчик. Страната на съхранение не е въпрос за техника, а за управление на доставчиците — какви са договаримите условия със този доставчик и дали са документирани. Всеки, който третира това като отделен фактически въпрос и веднага попълва "да" без основно договор, отговаря на въпроса технически правилно, но пропуска обосноваването, което клиентът всъщност иска.

Документът, който придружава това, е обикновено Споразумението за обработка на данни или преглед на подоставчиците на облачния доставчик, които съдържат местоположението на центровете на данни. Ако го нямаш под ръка, то "все още да се определи" е верният отговор тук — не защото трябва да остане неизвестно, а защото назоваване на държава без този документ е предположение, а не факт. Същата документация е релевантна и за въпроса дали предприятието поставя изисквания за сигурност на собствените си доставчици`: DPA с фиксирано местоположение често е доказателство, че това изискване е наложено. Някои клиенти впрочем не го питат поради самото местоположение, а за да проверят дали е приложено криптиране в покой — провери тогава дали въпросът не попада всъщност в политиката за криптография и криптиране.

Където е това в Директивата: член 21, параграф 2, буква д

Член 21, параграф 2, буква д на NIS2 изрично посочва "защитата на веригата на доставки, включително аспекти на киберсигурност, свързани с отношенията между всеки субект и неговите преки доставчици или поставщици на услуги" като една от десетте задължителни мерки. Облачен доставчик е такъв преки поставщик на услуги, а местоположението на съхранение на данни е аспект на киберсигурност на това отношение. ISO/IEC 27001 Приложение А разработва това по-нататък под мерките за управление на отношенията с доставчици, което обяснява защо клиентите това често задават заедно с въпросите за сертификация — вж. също дали предприятието е сертифицирано по ISO 27001. Законът за кибербезопасност поема това задължение без изменения от Директивата.