въпросникът иска да знае какви облачни услуги използваме за нашите данни

Доставчиците на облачни услуги са част от въпроса на веригата

Въпросът относно използваните облачни услуги се появява в повечето въпросници под по-широката тема управление на доставчиците, а не под отделна част "облачни услуги". Клиентът иска да знае дали вашето предприятие има преглед на това къде се намират данните на компанията и кой има достъп до тях. Конкретен отговор: посочете доставчиците, които обработват лични данни или критични за бизнеса данни (мислете на големите хипермащабни доставчици, но и облачен пакет за счетоводство или CRM се брои), и посочете дали има договорни договорки за сигурност с тях.

Пълният отговор се състои от две части: име на доставчика и доказателство, че управлявате тази връзка. Втората част е това, където повечето предприемачи спират — не защото не използват облачни услуги, а защото нямат преглед на кои договорки са записани. Ако липсва този преглед, "все още не е определено" е по-честен отговор, отколкото да посочите списък без обоснование. Тази тема директно засяга въпроса дали предприятието поставя изисквания по киберсигурност на своите собствени доставчици: доставчик на облачни услуги е просто доставчик, и изискванията, които се прилагат там — договори, договори за ниво на услуга, договорки за инцидент — са точно това, което се иска тук.

Където е записано в директивата: член 21, параграф 2

Член 21, параграф 2 на Директивата NIS2 посочва сигурност на веригата на доставчиците, включително връзката между всяка организация и нейните преки доставчици, като една от десетте задължителни мери. Доставчиците на облачни услуги попадат под тази верига. ISO/IEC 27001 разширява това допълнително в Приложение A, където връзките с доставчиците и управлението на активите — включително данни при трети страни — са изрично посочени; кой вече има процес за политика на достъп и управление на активите, обикновено вече е записал кои облачни услуги попадат в него. Законът за киберсигурност поема това задължение веднага щом законът влезе в сила.