asiakas haluaa tietää, kuinka pilvipalveluntarjoajamme on suojattu, mitä vastaan

Tämä kysymys kuuluu toimitusketjun valvontaan, ei sinun omaan turvallisuuteesi

Tämä kuuluu NIS2-direktiivin 21 artiklan 2 kappaleen d alakohtaan: turvallisuus toimitusketjussa, mukaan lukien suhde omiin toimittajiin. Asiakas ei tässä kysy, ovatko järjestelmäsi turvallisia, vaan tietäätkö ja pystytkö osoittamaan, että pilvipalveluntarjoajasi on. Tämä on eri todiste kuin esimerkiksi oma käyttöoikeuspolitiikka tai oma salauspolitiikka.

Vastaus koostuu yleensä kahdesta tasosta. Ensin: oletko asettanut itse turvallisuusvaatimuksia tälle toimittajalle sopimukseen tai valintaan liittyen? Vastaat sen perusteella, mitä omassa hankintakansioissasi on, ei sen perusteella, mitä toimittaja väittää. Sitten: mitä toimittaja itse osoittaa? Pyydä todiste, jonka hän yleensä jo jakaa asiakkaiden kanssa — ISO 27001 -sertifikaatti soveltamisaluekertoimen kera, SOC 2 -raportti tai yhteenveto hänen NIS2-hallintotoimistaan, jos hän itse kuuluu direktiivin piiriin. Jos sinulla ei ole tätä sertifikaattia kansioissasi, niin "ei" tai "tuntematon" on oikea vastaus — ei "kyllä" oletuksen perusteella. Tämä vastaa turvallisuusvaatimuksia, jotka yritys asettaa omille toimittajilleenkohdan kanssa: tämä todiste kuuluu standardi-asiakirjoihin, vaikka kyseessä olisi yksi suuri pilvipalvelun toimittaja tavallisen pitkän toimitusketjun sijaan.

Mistä todiste tulee: Annex A versus sopimus

ISO/IEC 27001 Annex A:ssa ei ole erillistä "pilviturvallisuus"-osaa; todiste on hajautettu hallintotoimien joukossa, jotka koskevat toimittajasuhteita ja käyttöoikeuksia. Käytännössä tämä tarkoittaa: tarkista ensin, oletko itse jo määrittänyt, mitä käyttöoikeuspolitiikka ja yrityksen omaisuuden hallinta koskeesillä siinä on usein myös määritelty, kuinka pääsy pilviympäristöön on järjestetty. Toimittajan itsensä osalta sertifikaatti tai auditointirapportti on todisteen lähde, ei sinun ilmoitus heidän järjestelmistään — et voi nimittäin vahvistaa toimittajan puolesta, mitä hän sisäisesti tekee.