klientas klausia apie mūsų debesies paslaugos teikėjo apsaugą, ką man turėtų atsakyti

Debesies paslaugų teikėjas patenka į 21 straipsnio 2 dalies d punktą

Atsakykite tuo, ką galite iš tikrųjų pagrįsti: sutartynes susitarimas su jūsų debesies paslaugų teikėju dėl saugumo ir gerai būdami sertifikatą arba audito ataskaitą, kurią teikėjas jums davė. Klausimas apie jūsų debesies paslaugų teikėjo saugumą patenka į tiekėjo saugumo kategoriją: NIS2 21 straipsnio 2 dalis d punkte aiškiai minima tiekimo grandinės saugumas, įskaitant ryšius su debesies paslaugų teikėjais. Todėl jūsų dossier neturi įrodyti paties debesies paslaugų teikėjo saugumą — tai daro tas teikėjas pats, per savo sertifikatą arba skaidrumo ataskaitą. Tai, ką turite sugebėti parodyti, yra tas, kad jūs patikrinote tą saugumą prieš pradėdami paslaugą ir kad tai periodiškai kartojate.

Jei neturite to įrodymano — kopijos iš ISO 27001 sertifikato iš teikėjo, jokio SOC 2 ataskaitą, jokios sąlygos kontraktu dėl pranešimo pareigos susidūrus su incidentais — tada "ne" arba "neįrodytas" yra teisingas atsakymas, net jei iš tikrųjų pasitikite teikėju. Pasitikėjimas nėra įrodymo priemonė. Praktiniu požiūriu: paprašykite šio įrodymo pas teikėją (didieji debesies paslaugų teikėjai paprastai turi tai standartiškai prieinamą jų pasitikėjimo centre arba panašiame portale) ir įdėkite jį į savo tiekėjo dossier, kai tik jį gausite. Tas pats klausimas dažnai yra susijęs su saugumo reikalavimais, kuriuos jūs savo ruožtu keliате teikėjams — jei tu jau turi dėl to nustatytą politiką, debesų tarnybų teikėjas yra konkretus to pavyzdys.

Kur tai yra dešimt priemonių

2 straipsnio 2 dalyje nustatyti 2 straipsnis NIS2 išvardija dešimt priemonių, kurias turi imtis subjektas; punktas d konkrečiai susijęs su tiekimo grandinės saugumo užtikrinimu, su aiškia nuoroda į saugumo aspektus santykiuose su tiekėjais. ISO/IEC 27001 tai detalizuoja A priede vadybos priemonėmis tiekėjų santykiams, kurioms taip pat priklauso debesų ir IKT paslaugų teikėjai. Jei jūsų pačių įmonė yra pati subjektas pagal Kibernetinio saugumo įstatymą, tai nėra atskiras klausimas, o įpareigojimo dalis — jei reikia, patikrinkite tai klausimas, ar jūsų įmonė priklauso NIS2 taikymo sričiai.