il questionario vuole sapere quali servizi cloud utilizziamo per i nostri dati

I fornitori cloud sono parte della domanda sulla catena

La domanda sui servizi cloud utilizzati rientra nella maggior parte dei questionari nel tema più ampio della gestione dei fornitori, non in una sezione separata "cloud". Il cliente vuole sapere se la tua azienda ha visibilità su dove risiedono i dati aziendali e chi vi può accedere. Risposta concreta: indica i fornitori che elaborano dati personali o dati critici per l'azienda (pensa ai grandi hyperscaler, ma anche un software di contabilità o un CRM nel cloud contano), e specifica se ci sono accordi contrattuali sulla sicurezza.

Una risposta completa si articola in due parti: il nome del fornitore e la prova che gestisci questa relazione. La seconda parte è dove la maggior parte degli imprenditori si blocca — non perché non utilizzi servizi cloud, ma perché non ha una visione d'insieme degli accordi documentati. Se questa visione manca, "da determinare" è una risposta più onesta che elencare una lista senza fondamento. Questo argomento tocca direttamente la questione se l'impresa pone requisiti di sicurezza ai propri fornitori": un fornitore cloud è in questo senso semplicemente un fornitore, e i requisiti che si applicano — contratti, accordi sui livelli di servizio, accordi su incidenti — sono esattamente quello che qui viene richiesto.

Dove si trova nella direttiva: articolo 21 paragrafo 2

L'articolo 21, paragrafo 2 della direttiva NIS2 cita la sicurezza della catena di approvvigionamento, inclusa la relazione tra ogni entità e i suoi fornitori diretti, come una delle dieci misure obbligatorie. I fornitori cloud rientrano in quella catena. ISO/IEC 27001 lo sviluppa ulteriormente nell'Allegato A, dove le relazioni con i fornitori e la gestione dei beni aziendali — compresi i dati presso terzi — sono esplicitamente indicati; chi ha già un processo per la politica di accesso e la gestione dei beni aziendali, di solito ha già anche documentato quali servizi cloud rientrano in questo ambito. La Legge sulla cibersicurezza assume questo obbligo non appena la legge entra in vigore.