küsimustik soovib teada, milliseid pilveteenuseid kasutame oma andmete jaoks

Pilveteenuse pakkujad on osa tarneahela küsimustest

Kasutatavate pilveteeuste päring kuulub enamikul küsimustikutel laiemate teema all "tarnijate haldus" alla, mitte eraldiseisva "pilve"-osa alla. Klient soovib teada, kas teie ettevõttel on ülevaade, kus ettevõtte andmed asuvad ja kes nendega saavad. Konkreetne vastus: nimetage teenusepakkujad, kes töötlevad isikuandmeid või ärikritilisi andmeid (mõelge suurtele hyperscaleritele, kuid ka pilves paiknev raamatupidamise pakett või CRM loeb), ja märkige, kas neile kuuluvad lepingulised kokkulepped turvalisuse kohta.

Täielik vastus koosneb kahest osast: teenusepakkuja nimi ja tõend selle suhte juhtimisest. Teine osa on koht, kus enamik ettevõtjaid jääb kinni — mitte sellepärast, et nad ei kasuta pilveteeuseid, vaid sellepärast, et neil puudub ülevaade, millised kokkuleppet selle kohta on dokumenteeritud. Kui see ülevaade puudub, on "veel määramata" aus vastus, kui loetleda mingit loendit ilma põhjenduseta. See teema puudutab otseselt küsimust, kas ettevõte seab turvalisusnõuded oma tarnijaile: pilveteenuse pakkuja on selles mõttes lihtsalt tarnija, ja nõudmised, mis seal kehtivad — lepingud, teenuse tase kokkuleppeid, intsidendi korraldusi — on täpselt see, mida siin küsitakse.

Kus see suunises kajastub: artikli 21 lõige 2

Direktiivi NIS2 artikli 21 lõike 2 nimetab tarneahela turvalisust, sealhulgas suhte iga üksuse ja selle otseste tarnija vahel, ühe kümnest kohustusliku meetmest. Pilveteenuse pakkujad kuuluvad selle ahela alla. ISO/IEC 27001 töötab seda välja lisa A-s, kus tarnija suhted ja ärivahendite haldus — sealhulgas andmed kolmandate osapoolte juures — on selgesõnaliselt nimetatud; kellel on juba protsess juurdepääsukontrolli ja ärivahendite haldamise jaoks protsess juurdepääsu poliitika ja ärivahendite haldamise jaoks, on tavaliselt juba määratlenud, millised pilveteeused selle hulka kuuluvad. Küberneetika turvalisuse seadus võtab selle nõude üle, kui see seadus jõustub.