η ερώτηση ζητά πληροφορίες για την ασφάλεια του cloud provider μας

Ο πάροχος cloud εμπίπτει στην ασφάλεια της αλυσίδας εφοδιασμού, όχι στα δικά σου μέτρα

Αυτή η ερώτηση δεν αφορά τα δικά σου ίδια συστήματα, αλλά έναν προμηθευτή στη δική σου αλυσίδα. Το άρθρο 21 παράγραφος 2 της NIS2 αναφέρει ρητά στο σημείο (d) «την ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των πτυχών που σχετίζονται με την ασφάλεια των σχέσεων μεταξύ κάθε οντότητας και των άμεσων προμηθευτών ή παρόχων υπηρεσιών της». Ο πάροχος cloud σου είναι ένας τέτοιος άμεσος πάροχος υπηρεσιών. Ο πελάτης δεν θέλει λοιπόν να μάθει αν το cloud είναι ασφαλές καθ' αυτό — κανείς δεν μπορεί να το εγγυηθεί — αλλά αν εσύ ως αγοραστής έχεις αξιολογήσει κατά πόσο αυτός ο προμηθευτής διαθέτει επαρκές επίπεδο ασφάλειας, και αν αυτό είναι καταγεγραμμένο κάπου.

Το αποδεικτικό στοιχείο που συνήθως ζητείται εδώ δεν είναι το δικό σου ίδιο πιστοποιητικό ISO, αλλά εκείνο του παρόχου cloud: μια δήλωση ISO/IEC 27001, μια έκθεση SOC 2, ή μια αναφορά στις συμβατικές συμφωνίες σχετικά με την προστασία των δεδομένων. Εάν δεν το έχεις διαθέσιμο, τότε «όχι, δεν έχει ακόμη καταγραφεί» είναι μια ειλικρινέστερη απάντηση από μια αυθαίρετη δέσμευση — ειδικά γιατί απαιτήσεις ασφάλειας για δικούς προμηθευτές συχνά εμφανίζεται ξανά πιο ευρέως στον ίδιο ερωτηματολόγιο, και η ασυνέπεια μεταξύ δύο απαντήσεων γίνεται αντιληπτή. Ελέγξτε επίσης αν η ερώτηση αφορά στην πραγματικότητα κρυπτογράφηση δεδομένων στο cloud — αυτό αναφέρεται αρκετά συχνά με την «ασφάλεια cloud», αλλά είναι ένα διαφορετικό υποκείμενο μέτρο.

Νομική βάση: άρθρο 21 παράγραφος 2 στοιχείο δ, συμπληρωμένο με το Παράρτημα A της ISO 27001

Η υποχρέωση αξιολόγησης προμηθευτών και παρόχων υπηρεσιών προβλέπεται στο άρθρο 21 παράγραφος 2 στοιχείο δ της NIS2 και επανεμφανίζεται στο ολλανδικό Cybersecurity Act από τη στιγμή που θα ισχύσει στις 15 Αυγούστου 2026. Το ISO/IEC 27001 Παράρτημα A αναπτύσσει περαιτέρω τα ελεγχόμενα μέτρα για τις σχέσεις προμηθευτών (κατηγορία A.5.19 έως A.5.23), τα οποία ασχολούνται ειδικά με την αξιολόγηση και παρακολούθηση παρόχων cloud και IT υπηρεσιών.