ügyfelem azt szeretné tudni, hogyan van biztosítva a felhőszolgáltatónk, mit írjak oda

Ez a kérdés a szállítási lánc felügyeletébe tartozik, nem a saját biztonságodba

Ez az NIS2-irányelv 21. cikk (2) bekezdés d) pontjára vonatkozik: biztonság az ellátási láncban, beleértve a saját beszállítóiddal való kapcsolatokat. Az ügyfél itt nem azt kérdezi, hogy a te rendszerei biztonságosak-e, hanem azt, hogy te tudod-e és be tudod-e bizonyítani, hogy a te felhőszolgáltatója biztonságos. Ez egy másik bizonyítási dokumentum, mint például a te saját hozzáférési szabályzata vagy a te saját titkosítási szabályzata.

A válasz általában két rétegből áll. Először: szabályoztál-e te magad biztonsági követelményeket ennek a beszállítónak, szerződésben vagy kiválasztásban? Ezt a saját beszerzési dosszién alapján válaszolod meg, nem azon alapján, amit a beszállító állít. Utána: mit mutat ki maga a beszállító? Kérj be azt a bizonyítási dokumentumot, amelyet normálisan már megosztanak az ügyfelekkel — egy ISO 27001-tanúsítványt a hatáskör-nyilatkozattal, egy SOC 2-jelentést, vagy az ő NIS2-intézkedéseinek összefoglalóját, ha ő maga az irányelv hatálya alá tartozik. Ha nincs meg ez a tanúsítvány a dosszódban, akkor a "nem" vagy az "ismeretlen" a helyes válasz — nem a "igen" egy feltételezés alapján. Ez összhangban van azzal, hogy biztonsági követelmények, amelyeket a vállalkozás saját beszállítóinak szab: ehhez a bizonyítási dokumentumhoz normálisan hozzá kell tartoznia, még ha egyetlen nagy felhőpartnerről van szó ahelyett, hogy hosszú szállítási lánc lenne.

Honnan származik a bizonyítási dokumentum: Annex A versus a szerződés

Az ISO/IEC 27001 Annex A nem tartalmaz különálló "felhőbiztonság" részt; a bizonyítási dokumentum szétszóródott a beszállítói kapcsolatok és a hozzáférés kezelésének kontrollintézkedésein. Gyakorlatilag ez azt jelenti: először ellenőrizd, hogy te magad már rögzített-e mely hozzáférési szabályzat és szervezeti eszközök kezelése vonatkozik, mert ebben gyakran az is szerepel, hogy miként szabályozott a felhőkörnyezet hozzáférése. Magára a beszállítóra nézve a tanúsítvány vagy auditjelentés a bizonyítási dokumentum forrása, nem pedig egy te általad tett nyilatkozat az ő rendszereiről — ugyanis nem tudod az ő nevében megerősíteni, hogy ő belsőleg mit csinál.