klients vēlas zināt, kā mūsu mākoņa pakalpojuma sniedzējs ir aizsargāts, ko man tur jāieraksta

Šis jautājums attiecas uz piegādes ķēdes uzraudzību, nevis uz jūsu paša drošību

Tas attiecas uz NIS2 21. panta 2. punkta d) apakšpunktu: drošība piegādes ķēdē, ieskaitant attiecības ar jūsu paša piegādātājiem. Klients šeit neprasa, vai jūsu sistēmas ir drošas, bet vai jūs zināt un varat pierādīt, ka jūsu mākoņa piegādātājs to ir. Tas ir cits pierādījums nekā, piemēram, jūsu paša piekļuves politika vai jūsu paša šifrēšanas politika.

Atbilde parasti sastāv no diviem slāņiem. Pirmkārt: vai jūs paši noteicāt drošības prasības šim piegādātājam, līgumā vai atlases procesā? To jūs atbildat, pamatojoties uz jūsu paša iepirkuma dokumentāciju, nevis uz to, ko apgalvo piegādātājs. Pēc tam: ko pats piegādātājs pierāda? Pieprasiet pierādījuma dokumentu, ko viņš parasti jau dala ar klientiem — ISO 27001 sertifikātu ar darbības jomas deklarāciju, SOC 2 ziņojumu vai kopsavilkumu par viņa NIS2 pasākumiem, ja viņš pats ietilpst direktīvas darbības jomā. Ja jums šis sertifikāts nav dokumentācijā, tad "nē" vai "nezināms" ir pareizā atbilde — nevis "jā" pamatojoties uz pieņēmumu. Tas saskan ar drošības prasības, ko uzņēmums izvirza saviem piegādātājiem: šis pierādījums standartā turētu atrasties tur, pat ja tas ir viens liels mākoņa partneri starp garu tolaika piegādātāju ķēdi.

Kur pierādījums nāk no: Annex A pret līgumu

ISO/IEC 27001 Annex A nav atsevišķas "mākoņa drošības" daļas; pierādījums ir izkliedēts pa kontroles pasākumiem piegādātāju attiecībām un piekļuvei. Praktiski tas nozīmē: vispirms pārbaudiet, vai jūs paši jau ir noteikts, kāda piekļuves politika un uzņēmuma resursu pārvaldīšana attiecas, jo tajā bieži ir noteikts arī tas, kā tiek regulēta piekļuve mākoņa videi. Piegādātāja sertifikāts vai audita atskaite ir pierādījuma avots, nevis jūsu paziņojums par viņu sistēmām — jūs nevarat apstiprinot piegādātāja vārdā, ko viņš dara iekšēji.