zákazník chce vědět, jak je zabezpečen náš poskytovatel cloudových služeb, co tam vyplním

Tato otázka spadá pod dohled řetězce, ne pod vaši vlastní bezpečnost

To spadá pod článek 21 odst. 2 písm. d NIS2: bezpečnost v dodavatelském řetězci, včetně vztahu k vašim vlastním dodavatelům. Zákazník se zde neptal, zda jsou vaše systémy bezpečné, ale zda víte a můžete prokázat, že je bezpečný váš poskytovatel cloudových služeb. To je jiný doklad než například vaše vlastní zásada přístupu nebo vaše vlastní zásada šifrování.

Odpověď se obvykle skládá ze dvou vrstev. Zaprvé: sám jste stanovil bezpečnostní požadavky tomuto dodavateli, a to smluvně nebo při výběru? To odpovídáte na základě vašeho vlastního nákupního spisu, ne na základě toho, co tvrdí dodavatel. Zadruhé: co sám poskytovatel prokáže? Požádejte o doklad, který normálně již sdílí se svými zákazníky — certifikát ISO 27001 se prohlášením o rozsahu, zprávu SOC 2 nebo shrnutí jeho opatření NIS2, pokud sám spadá pod direktivu. Pokud tento certifikát nemáte ve svém spisu, pak je "ne" nebo "neznámo" správná odpověď — ne "ano" na základě předpokladu. To se shoduje s bezpečnostní požadavky, které podnik klade svým vlastním dodavatelům: k tomuto dokladu by měl normálně patřit, i když jde o jednu velkou cloudovou stranu místo dlouhého řetězce poddodavatelů.

Odkud pochází doklad: Příloha A versus smlouva

ISO/IEC 27001 Příloha A nemá samostatný oddíl "cloud bezpečnost"; doklad je rozptýlen v přes opatření pro správu vztahů s dodavateli a přístup. Prakticky to znamená: nejprve zkontrolujte, zda jste sám již stanovil, která zásada přístupu a správa podnikových prostředků platí, protože v ní je často také uvedeno, jak je regulován přístup do cloudového prostředí. Pro samotného dodavatele je certifikát nebo zpráva z auditu místem, kde se to najde, ne vaše prohlášení o jejich systémech — nemůžete totiž jménem dodavatele potvrdit, co interně dělá.