A kérdőív tudni akarja, milyen felhőszolgáltatásokat használunk adatainkhoz

A felhőszolgáltatók a lánckérdés részét képezik

A használt felhőszolgáltatások iránti kérdés a legtöbb kérdőívben nem egy külön "felhő"-fejezetben, hanem a tágabb szállítókezelés témakörén belül jelenik meg. Az ügyfél szeretné tudni, hogy vállalkozásod szem előtt tartja-e, hogy hol találhatók az üzleti adatok és ki férhet hozzájuk. Konkrét válasz: sorold fel azokat a szállítókat, akik személyes adatokat vagy üzletkritikus adatokat dolgoznak fel (gondolj a nagy hiperskalár szolgáltatókra, de egy felhőalapú könyvelési csomag vagy CRM is számít), és jelezd, hogy vannak-e hozzájuk kapcsolódó szerződéses biztonsági megállapodások.

A teljes válasz két részből áll: a szállító neve és annak bizonyítéka, hogy kezeled ezt a kapcsolatot. A második rész az, ahol a legtöbb vállalkozó megakad — nem azért, mert nem használnak felhőszolgáltatásokat, hanem azért, mert nincs áttekintésük arról, hogy milyen megállapodások rögzítésre kerültek. Ha ez az áttekintés hiányzik, akkor a "még meghatározandó" egy őszintébb válasz, mint egy lista felsorolása indoklás nélkül. Ez a téma közvetlenül érinti azt a kérdést, hogy az onderneming beveiligingseisen stelt aan haar eigen leveranciers": egy felhőszolgáltató ebben az értelemben egyszerűen csak egy szállító, és az erre vonatkozó követelmények — szerződések, szolgáltatási szinteket meghatározó megállapodások, incidensek kezelésére vonatkozó megállapodások — pontosan az, amit itt kérnek.

Ahol ez az irányelvben szerepel: 21. cikk 2. bekezdés

Az NIS2-irányelv 21. cikk (2) bekezdése az ellátási lánc biztonságát, köztük az egyes entitások és azok közvetlen szállítói közötti kapcsolatot nevezi meg a tíz kötelező intézkedés egyikeként. A felhőszolgáltatók az adott lánc részét képezik. Az ISO/IEC 27001 ezt az A. mellékletben tovább fejti ki, ahol a szállítói kapcsolatok és az üzleti eszközök kezelése — beleértve a harmadik fél által kezelt adatokat — kifejezetten megnevezésre kerülnek; aki már rendelkezik folyamattal a hozzáférési politika és az üzleti eszközök kezelésére egy folyamattal a hozzáférési politika és az üzleti eszközök kezelésére, akkor általában már rögzítette azt is, hogy mely felhőszolgáltatások tartoznak az adott kör alá. A kibertámadások elleni védelemről szóló törvény ezt a kötelezettséget átveszi, amint az törvény hatályba lép.