Клиентът иска да знае как е защитен нашият облачен доставчик, какво попълвам там

Този въпрос попада под надзора на веригата, не под твоята собствена сигурност

Това се отнася към член 21 параграф 2 буква d NIS2: сигурност в веригата на доставките, включително отношението с твоите собствени доставчици. Клиентът не пита тук дали твоите системи са безопасни, а дали ти знаеш и можеш да докажеш, че на твоя доставчик на облачни услуги е така. Това е различен доказателствен документ от например твоя собствена политика за достъп или твоята собствена политика за криптиране.

Отговорът обикновено се състои от два слоя. Първо: си поставил ли сам изисквания за безопасност на този доставчик, договорно или при подбора? Отговаряш на това въз основа на собствения си файл за покупки, а не въз основа на това, което твърди доставчикът. След това: какво демонстрира самият доставчик? Поискай доказателството, което той обикновено вече споделя с клиентите — сертификат ISO 27001 със декларация за обхват, доклад SOC 2 или резюме на неговите мерки по NIS2, ако сам попада под директивата. Ако нямаш този сертификат в своя файл, тогава "не" или "неизвестно" е правилният отговор — не "да" въз основа на предположение. Това се съответства с изисквания за безопасност, които предприятието поставя на собствените си доставчици: там такова доказателство трябва да лежи стандартно, дори ако е един голям облачен партньор вместо дълга верига от доставчици.

Откъде идва доказателството: Приложение A срещу договора

ISO/IEC 27001 Приложение A няма отделен компонент за "облачна сигурност"; доказателството е разпръснато в контролните мерки за управление на отношенията с доставчици и достъп. На практика това означава: първо проверете дали сте сами установили кое правило за достъп и управление на деловни активи се прилага, защото там често е описано и как е организиран достъпът до облачната среда. За самия доставчик сертификатът или одитния доклад е източникът, не ваше декларация относно неговите системи — вие не можете да потвърдите от име на доставчика какво той прави вътрешно.