he kysyvät, missä maassa tietomme sijaitsee

Pilvitalleniston sijainti kuuluu toimitusketjun turvallisuuteen, ei salaukseen

Tämä kysymys kuuluu artiklan 21 kohdan 2 alakohdan d NIS2 mukaiseen toimitusketjun turvallisuustoimenpiteeseen: vaatimukset, jotka yritys asettaa omille toimittajilleen, mukaan lukien pilvipalveluntarjoaja. Tallennuksen maata ei siis ole kysymys tekniikasta vaan toimittajaksi hallinnasta — mitkä sopimukset on tehty kyseisen toimittajan kanssa ja ovatko ne dokumentoitu. Jos joku käsittelee tätä irtonaisena tosiseikkaaksi ja täyttää välittömästi "kyllä" ilman taustalla olevaa sopimusta, vastaa kysymykseen teknisesti oikein mutta jää ilman perustelua, jonka asiakas siihen oikeastaan haluaa.

Todiste, joka siihen liittyy, on yleensä Data Processing Agreement tai pilvipalveluntarjoajan alihankkijoiden luettelo, jossa on tietokeskusten sijainti. Jos sinulla ei ole sitä käsillä, "vielä määritettäväksi" on tässä oikea vastaus — ei siitä, että se voisi jäädä tuntemattomaksi, vaan koska maan nimeäminen ilman tuota asiakirjaa on oletus, ei tosiasia. Sama dokumentaatio on myös oleellinen kysymykselle tai yritys asettaa turvallisuusvaatimuksia omille toimittajilleen: DPA, jossa on kiinteä sijainti, on usein todiste siitä, että vaatimus on pakotettu. Jotkut asiakkaat eivät kuitenkaan kysy tätä itse sijainnin vuoksi, vaan testatakseen, onko levossa oleva salaus käytetty — tarkista siis, etteikö kysymys oikeastaan liity käytäntö kryptografiasta ja salauksesta.

Missä se esiintyy direktiivissä: artikla 21 kohta 2 alakohta d

Artiklan 21 kohdan 2 alakohdan d NIS2 mukaisesti nimetään "toimitusketjun turvallisuus, mukaan lukien jokaisen tahon ja sen suorien toimittajien tai palvelun tarjoajien väliset turvallisuusnäkökulmat" yhtenä kymmenestä pakollisesta toimenpiteestä. Pilvipalveluntarjoaja on sellainen suora palveluntarjoaja, ja tietojen tallennussijainti on turvallisuusnäkökulma kyseiseen suhteeseen. ISO/IEC 27001 -standardin liite A kehittää tätä eteenpäin toimittajasuhteiden hallinnollisissa kontrolleissa, mikä selittää, miksi asiakkaat esittävät tämän usein yhdessä sertifiointikysymysten kanssa — katso myös onko yritys ISO 27001 -sertifioitu. Kyberturvallisuuslaki ottaa tämän velvoitteen muuttamattomana direktiivin kanssa.