Η έρευνα θέλει να γνωρίζει ποιες υπηρεσίες νέφους χρησιμοποιούμε για τα δεδομένα μας

Οι χρήστες υπηρεσιών cloud είναι μέρος της αλυσίδας ερωτήσεων

Το ερώτημα για τις χρησιμοποιούμενες υπηρεσίες cloud περιλαμβάνεται στις περισσότερες λίστες ερωτήσεων στο ευρύτερο θέμα της διαχείρισης προμηθευτών, όχι σε ξεχωριστό τμήμα «cloud». Ο πελάτης θέλει να γνωρίζει εάν η επιχείρησή σας έχει ορατότητα όσον αφορά το που βρίσκονται τα δεδομένα της επιχείρησης και ποιος μπορεί να έχει πρόσβαση. Συγκεκριμένη απάντηση: αναφέρετε τους προμηθευτές που επεξεργάζονται δεδομένα προσώπων ή κρίσιμα δεδομένα επιχείρησης (σκεφτείτε τους μεγάλους hyperscalers, αλλά και ένα πακέτο λογιστικής ή CRM στο cloud μετράει), και υποδείξτε εάν υπάρχουν σχετικές συμβατικές συμφωνίες για την ασφάλεια.

Μια πλήρης απάντηση αποτελείται από δύο μέρη: το όνομα του προμηθευτή και το αποδεικτικό ότι διαχειρίζεστε σωστά τη σχέση αυτή. Το δεύτερο μέρος είναι εκεί όπου οι περισσότεροι επιχειρηματίες αντιμετωπίζουν δυσκολίες — όχι επειδή δεν χρησιμοποιούν υπηρεσίες cloud, αλλά επειδή δεν έχουν ορατότητα όσον αφορά τις συμφωνίες που έχουν καταγραφεί. Εάν αυτή η ορατότητα λείπει, το «ακόμα να προσδιοριστεί» είναι μια ειλικρινέστερη απάντηση από μια λίστα χωρίς τεκμηρίωση. Αυτό το θέμα αγγίζει άμεσα το ερώτημα του κατά πόσον η επιχείρηση θέτει απαιτήσεις ασφάλειας για τους δικούς της προμηθευτές: ένας χρήστης υπηρεσιών cloud είναι κατά αυτή την έννοια απλώς ένας προμηθευτής, και οι απαιτήσεις που ισχύουν εκεί — συμβάσεις, συμφωνίες επιπέδου υπηρεσίας, συμφωνίες περιστατικών — είναι ακριβώς αυτό που ζητείται εδώ.

Όπου βρίσκεται αυτό στην Οδηγία: άρθρο 21 παράγραφος 2

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει την ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένης της σχέσης μεταξύ κάθε οντότητας και των άμεσων προμηθευτών της, ως ένα από τα δέκα υποχρεωτικά μέτρα. Οι χρήστες υπηρεσιών cloud εμπίπτουν σε αυτή την αλυσίδα. Το ISO/IEC 27001 το αναπτύσσει περαιτέρω στο Annex A, όπου οι σχέσεις με προμηθευτές και η διαχείριση επιχειρησιακών περιουσιακών στοιχείων — συμπεριλαμβανομένων δεδομένων σε τρίτους — είναι ρητά αναφερόμενα· όποιος έχει ήδη μια διαδικασία για την πολιτική πρόσβασης και τη διαχείριση επιχειρησιακών περιουσιακών στοιχείων, διαδικασία για την πολιτική πρόσβασης και τη διαχείριση επιχειρησιακών περιουσιακών στοιχείων, συνήθως έχει επίσης ήδη καταγράψει ποιες υπηρεσίες cloud εμπίπτουν σε αυτό. Ο Νόμος Κυβερνοασφάλειας αναλαμβάνει αυτή την υποχρέωση μόλις ο νόμος ισχύει.