ο πελάτης ρωτά για την ασφάλεια του προμηθευτή cloud μας τι πρέπει να απαντήσω

Ο πάροχος cloud υπάγεται στο άρθρο 21 παράγραφος 2 στοιχείο δ

Απαντήστε με αυτό που μπορείτε πραγματικά να τεκμηριώσετε: τις συμβατικές συμφωνίες με τον πάροχο cloud σας σχετικά με την ασφάλεια και ενδεχομένως ένα πιστοποιητικό ή έκθεση ελέγχου που σας έχει δώσει ο πάροχος. Το ερώτημα σχετικά με την ασφάλεια του παρόχου cloud σας υπάγεται στην κατηγορία ασφάλειας του προμηθευτή: το άρθρο 21 παράγραφος 2 στοιχείο δ NIS2 αναφέρει ρητώς την ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένης της σχέσης με τους παρόχους υπηρεσιών cloud. Το δοσιέ σας δεν χρειάζεται συνεπώς να αποδείξει την ασφάλεια του ίδιου του παρόχου cloud — αυτό το κάνει ο ίδιος ο πάροχος, μέσω του δικού του πιστοποιητικού ή έκθεσης διαφάνειας. Αυτό που θα πρέπει να μπορείτε να δείξετε είναι ότι έχετε ελέγξει την ασφάλεια αυτή πριν αναλάβετε την υπηρεσία και ότι το επαναλαμβάνετε περιοδικά.

Αν δεν έχετε αυτό το αποδεικτικό στοιχείο — κανένα αντίγραφο ενός πιστοποιητικού ISO 27001 του παρόχου, κανένα SOC 2 αναφορά, κανένα όρο στο συμβόλαιο σχετικά με την υποχρέωση ειδοποίησης σε περίπτωση περιστατικών — τότε «όχι» ή «δεν τεκμηριώθηκε» είναι η σωστή απάντηση, ακόμη και αν έχετε εμπιστοσύνη στον πάροχο. Η εμπιστοσύνη δεν είναι αποδεικτικό στοιχείο. Πρακτικά: ζητήστε αυτό το αποδεικτικό στοιχείο και πάλι από τον πάροχο (τα μεγαλύτερα κλάδια cloud έχουν συνήθως αυτό διαθέσιμο τυποποιημένα σε ένα κέντρο εμπιστοσύνης ή παρόμοιο πύλη) και τοποθετήστε το στο δοσιέ της αλυσίδας σας μόλις το λάβετε. Το ίδιο ερώτημα συνδέεται συχνά με απαιτήσεις ασφάλειας που θέτετε στους προμηθευτές — αν έχετε ήδη καθορίσει πολιτική γι' αυτό, ο πάροχος cloud είναι ένα συγκεκριμένο παράδειγμα.

Πού παρουσιάζεται αυτό στα δέκα μέτρα

Το άρθρο 21 παράγραφος 2 NIS2 απαριθμεί δέκα μέτρα που πρέπει να λάβει μια οντότητα· το στοιχείο δ αφορά ειδικά την ασφάλεια της αλυσίδας εφοδιασμού, με ρητή αναφορά στις πτυχές ασφάλειας των σχέσεων με τους προμηθευτές. Το ISO/IEC 27001 το αναπτύσσει στο Παράρτημα Α υπό τα μέτρα ελέγχου για τις σχέσεις με προμηθευτές, όπου εμπίπτουν και οι απαιτήσεις από τους παρόχους υπηρεσιών cloud και ICT. Αν η δική σας εταιρεία είναι η ίδια οντότητα σύμφωνα με τον Νόμο περί Κυβερνοασφάλειας, τότε αυτό δεν είναι ένα ξεχωριστό ερώτημα αλλά μέρος μιας υποχρέωσης — ελέγξτε το αν χρειάζεται με το ερώτημα εάν η εταιρεία σας υπάγεται στο NIS2.