asiakas haluaa tietää, onko pilvipalvelumme riittävän suojattu, mitä minun pitää vastata

Pilvipalveluntarjoaja kuuluu toimittajaketjun tietoturvaperiaatteiden piiriin, ei erillisen kohdan alle

Tämä kysymys ei melkein koskaan ole erillinen kyllä/ei-kysymys. Asiakas kysyy oikeastaan sitä, koskeeko toimittajahallinto myös pilvipalveluntarjoajaa, ja se kuuluu turvallisuusvaatimukset omille toimittajille — kohdan (d) alle kymmenen toimen joukossa EU:n NIS2-direktiivin 21 artiklan 2 kohdassa. Vastaus koostuu siis kahdesta tasosta: onko yrityksellä toimittajaperiaatteet olemassa, ja onko pilvipalveluntarjoaja konkreettisesti arvioitu niiden mukaisesti. "Kyllä" pelkästään ensimmäisellä tasolla ilman että pilvipalveluntarjoajaa on koskaan arvioitu, on puolittainen totuus, joka tulee esiin auditoinnissa.

Mikä lasketaan todisteeksi, vaihtelee dossieerin kypsyysasteen mukaan. Jos pilvipalveluntarjoajalla on oma ISO 27001 -sertifikaatti tai SOC 2 -raportti, se on vahvin todiste — aseta se rinnakkain siihen kysymykseen, onko oma yritys ISO 27001 -sertifioitukoska nämä ovat kaksi erillistä sertifikaattia, joita ei saa sekoittaa vastauksen kanssa. Jos sertifikaatti puuttuu, käsittelyoikeuden sopimus turvallisuusliitteellä tai päivätyllä omalla toimittajien arvioinneilla on seuraavaksi paras todiste. Ilman toista niistä "ei" tai "käynnissä" on oikea vastaus, vaikka pilvipalveluntarjoaja olisikin todennäköisesti hyvin suojattu — todennäköisyys ei ole todiste.

Missä tämä käy ilmi: EU:n NIS2-direktiivin 21 artiklan 2 kohdan d alakohta ja Liite A.15

Velvollisuus arvioida toimittajien ja palveluntarjoajien tietoturva on nimetty EU:n NIS2-direktiivin 21 artiklan 2 kohdan d alakohdassa yhtenä kymmenestä toimesta, jotka yrityksen on toteutettava. ISO/IEC 27001 kehittää tätä edelleen Liitteessa A olevissa hallintakeinoissa toimittajasuhteiden osalta. Suomessa – kuten koko Euroopassa – nämä velvoitteet perustuvat NIS2-direktiiviin; direktiivi siirtyi osaksi EU:n lainsäädäntöä ja joissa jäsenvaltiot olivat velvoitettuja mukauttamaan kansallisen lainsäädäntönsä. Jos olet epävarma siitä, koskeeko tämä jo omaa yritystäsi eikä vain asiakkaan kysymystä, tarkista tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan.