il cliente vuole sapere come è protetto il nostro cloud provider, cosa compilo lì

Questa domanda rientra nella vigilanza della catena di approvvigionamento, non nella tua sicurezza

Questo rientra nell'articolo 21 paragrafo 2 lettera d NIS2: sicurezza nella catena di approvvigionamento, inclusa la relazione con i tuoi stessi fornitori. Il cliente non ti chiede se i tuoi sistemi sono sicuri, ma se sai e puoi dimostrare che il tuo fornitore di servizi cloud lo è. Si tratta di un documento diverso rispetto a, ad esempio, la tua politica di accesso o la tua politica di crittografia.

La risposta di solito consiste in due livelli. In primo luogo: hai fissato tu stesso requisiti di sicurezza per quel fornitore, contrattualmente o nella selezione? Lo rispondi sulla base della tua documentazione di acquisto, non sulla base di ciò che sostiene il fornitore. Successivamente: cosa dimostra il fornitore stesso? Richiedi il documento che normalmente condivide già con i clienti — un certificato ISO 27001 con dichiarazione di ambito, un rapporto SOC 2, o un riepilogo delle sue misure NIS2 se rientra egli stesso nella direttiva. Se non hai quel certificato nella tua documentazione, allora "no" o "sconosciuto" è la risposta corretta — non "sì" sulla base di un'ipotesi. Questo è coerente con requisiti di sicurezza che l'impresa pone ai propri fornitori: questa documentazione deve trovarsi lì di norma, anche se si tratta di un unico grande partner cloud anziché di una lunga catena di fornitori.

Dove proviene la documentazione: Allegato A rispetto al contratto

ISO/IEC 27001 Allegato A non dispone di una sezione separata "sicurezza cloud"; la documentazione è dispersa tra le misure di controllo per le relazioni con i fornitori e l'accesso. In pratica questo significa: verifica innanzitutto se tu stesso hai già stabilito quale politica di accesso e gestione dei beni aziendali si applica, perché spesso contiene anche come è regolato l'accesso all'ambiente cloud. Per il fornitore stesso, il certificato o il rapporto di audit è la fonte, non una dichiarazione tua sui suoi sistemi — infatti non puoi confermare al posto del fornitore ciò che fa internamente.