kyselylomake haluaa tietää, mitä pilvitoimintoja käytämme tietoihimme

Pilvipalveluntarjoajat ovat osa ketjukysymystä

Käytettyjen pilvipalveluiden kysymys sisältyy useimpiin kyselyihin laajemman toimittajien hallintaan liittyvän teeman alle, ei erillisen "pilvi"-osan alle. Asiakas haluaa tietää, onko yrityksellä näkyvyys siihen, missä liiketoiminnan tiedot sijaitsevat ja keillä on niihin pääsy. Konkreettinen vastaus: mainitse toimittajat, jotka käsittelevät henkilötietoja tai liiketoiminnan kriittisiä tietoja (ajattele suuria hyperscale-palveluntarjoajia, mutta myös pilvipohjaiset kirjanpito-ohjelmistot tai CRM-järjestelmät katsotaan mukaan), ja ilmoita, ovatko niihin liittyvät turvallisuuden sopimukset käytössä.

Täydellinen vastaus koostuu kahdesta osasta: toimittajan nimi ja todiste siitä, että hallitset kyseistä suhdetta. Toinen osa on kohta, jossa useimmat yrittäjät juuttuvat — ei siksi, että he eivät käyttäisi pilvipalveluja, vaan siksi, että heillä ei ole näkyvyyttä siihen, mitä sopimuksia asiasta on tehty. Jos tämä näkyvyys puuttuu, "vielä määritettävä" on rehellisempi vastaus kuin listan esittäminen ilman perusteluja. Tämä aihe koskettaa suoraan kysymystä siitä, onko yritys asettaa turvallisuusvaatimuksia omille toimittajilleenpilvipalveluntarjoaja tässä mielessä vain tavallinen toimittaja, ja vaatimukset, jotka siihen liittyvät — sopimukset, palvelutasosopimukset, häiriötilanteiden sopimukset — ovat juuri sitä, mitä täällä pyydetään.

Missä tämä esiintyy ohjeistuksessa: artikla 21 luku 2

NIS2-direktiivin 21 artiklan 2 kohta mainitsee toimittajaketjun turvallisuuden, mukaan lukien jokaisen yhteisön ja sen suorien toimittajien väliset suhteet, yhtenä kymmenen pakollisesta toimenpiteestä. Pilvipalveluntarjoajat kuuluvat kyseiseen ketjuun. ISO/IEC 27001 kehittää tätä edelleen liitteessä A, jossa toimittajasuhteita ja liiketoiminnan varojen hallintaa — mukaan lukien kolmansien osapuolten hallinnassa olevat tiedot — käsitellään nimenomaisesti; joka on jo asettanut prosessia pääsynhallinnan ja liiketoiminnan varojen hallinnan osalta, on yleensä jo määritellyt, mitkä pilvipalvelut kuuluvat sen piiriin. Kyberturvallisuuslaki omaksuu tämän velvoitteen heti, kun laki astuu voimaan.