ρωτάνε σε ποια χώρα αποθηκεύονται τα δεδομένα μας

Η τοποθεσία της αποθήκευσης cloud περιλαμβάνεται στην ασφάλεια της αλυσίδας εφοδιασμού, όχι στην κρυπτογράφηση

Αυτή η ερώτηση εμπίπτει στο μέτρο ασφάλειας της αλυσίδας εφοδιασμού από το άρθρο 21 παράγραφος 2 στοιχείο δ NIS2: οι απαιτήσεις που η επιχείρηση θέτει στους δικούς της προμηθευτές, συμπεριλαμβανομένου του παρόχου cloud. Η χώρα αποθήκευσης είναι επομένως όχι ερώτηση για την τεχνική, αλλά για τη διαχείριση προμηθευτών — ποιες συμφωνίες έχουν συναφθεί με αυτόν τον προμηθευτή και είναι καταγεγραμμένες. Όποιος αντιμετωπίζει αυτό ως χωριστή ερώτηση γεγονότος και συμπληρώνει αμέσως «ναι» χωρίς υποκείμενο συμβόλαιο, απαντάει την ερώτηση τεχνικά σωστά αλλά χάνει την τεκμηρίωση που στην πραγματικότητα ο πελάτης ζητάει.

Το αποδεικτικό στοιχείο που συνοδεύει αυτό είναι συνήθως η Data Processing Agreement ή η λίστα υποεπεξεργαστών του παρόχου cloud, στο οποίο αναφέρονται οι τοποθεσίες των κέντρων δεδομένων. Αν δεν το έχεις στη διάθεσή σου, τότε «προς προσδιορισμό» είναι εδώ η σωστή απάντηση — όχι επειδή πρέπει να παραμείνει άγνωστο, αλλά επειδή η ονοματολογία μιας χώρας χωρίς το έγγραφο είναι υπόθεση, όχι γεγονός. Η ίδια τεκμηρίωση είναι επίσης σχετική για την ερώτηση αν η επιχείρηση θέτει απαιτήσεις ασφάλειας στους δικούς της προμηθευτές: μια DPA με σταθερή τοποθεσία είναι συχνά το αποδεικτικό ότι αυτή η απαίτηση έχει επιβληθεί. Ορισμένοι πελάτες δεν ζητούν αυτό για την τοποθεσία καθεαυτή, αλλά για να ελέγξουν αν έχει εφαρμοστεί κρυπτογράφηση σε ηρεμία — ελέγξου τότε αν η ερώτηση δεν ανταποκρίνεται στην πραγματικότητα σε την πολιτική σχετικά με την κρυπτογραφία και την κρυπτογράφηση.

Όπου αναφέρεται αυτό στην Οδηγία: άρθρο 21 παράγραφος 2 στοιχείο δ

Το άρθρο 21 παράγραφος 2 στοιχείο δ NIS2 αναφέρει ρητώς «την ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των πτυχών ασφάλειας που αφορούν τις σχέσεις μεταξύ κάθε οντότητας και των άμεσων προμηθευτών ή παρόχων υπηρεσιών της» ως ένα από τα δέκα υποχρεωτικά μέτρα. Ένας παροχος cloud είναι ένας τέτοιος άμεσος πάροχος υπηρεσιών, και η τοποθεσία της αποθήκευσης δεδομένων είναι μια πτυχή ασφάλειας αυτής της σχέσης. Το ISO/IEC 27001 Annex A αναπτύσσει τα μέτρα ελέγχου για σχέσεις προμηθευτών, που εξηγεί γιατί οι πελάτες συχνά το θέτουν μαζί με ερωτήσεις πιστοποίησης — δείτε επίσης ή αν η επιχείρηση είναι πιστοποιημένη ISO 27001. Ο Νόμος Κυβερνοασφάλειας ενσωματώνει αυτή την υποχρέωση χωρίς αλλαγές από την Οδηγία.