pytają, w jakim kraju przechowujemy nasze dane

Lokalizacja przechowywania danych w chmurze znajduje się pod bezpieczeństwem łańcucha dostaw, a nie pod szyfrowaniem

To pytanie podlega środkowi bezpieczeństwa łańcucha dostaw z artykułu 21 ust. 2 lit. d Dyrektywy NIS2: wymogi, które przedsiębiorstwo stawia swoim własnym dostawcom, w tym dostawcy usług w chmurze. Kraj przechowywania danych nie jest więc pytaniem o technikę, ale o zarządzanie dostawcami — jakie umowy zawarto z tym dostawcą i czy zostały udokumentowane. Kto traktuje to jako samodzielne pytanie faktyczne i od razu wpisuje «tak» bez umowy podstawowej, odpowiada technicznie prawidłowo, ale brakuje mu uzasadnienia, które klient faktycznie chce uzyskać.

Dokumentem potwierdzającym jest zwykle Umowa o przetwarzaniu danych lub przegląd podprocesów dostawcy usług w chmurze, w którym podana jest lokalizacja centrów danych. Jeśli nie masz tego pod ręką, «do ustalenia» jest tutaj prawidłową odpowiedzią — nie dlatego, że musi pozostać nieznane, ale dlatego że wskazanie kraju bez tego dokumentu to założenie, a nie fakt. Ta sama dokumentacja jest również istotna dla pytania czy przedsiębiorstwo stawia wymagania dotyczące bezpieczeństwa swoim własnym dostawcom: DPA z stałą lokalizacją jest często dowodem na egzekwowanie tego wymogu. Niektórzy klienci nie pytają o samo miejsce, ale chcą sprawdzić, czy zastosowana została szyfrowanie danych w spoczynku — sprawdź zatem, czy pytanie nie odnosi się właściwie do polityka dotycząca kryptografii i szyfrowania.

Gdzie to znajduje się w dyrektywie: artykuł 21 ust. 2 lit. d

Artykuł 21 ust. 2 lit. d dyrektywy NIS2 wymienia explicite "bezpieczeństwo łańcucha dostaw, w tym aspekty bezpieczeństwa dotyczące relacji między każdym podmiotem a jego bezpośrednimi dostawcami lub dostawcami usług" jako jedno z dziesięciu obowiązkowych środków. Dostawca usług w chmurze jest takim bezpośrednim dostawcą usług, a lokalizacja przechowywania danych jest aspektem bezpieczeństwa tej relacji. ISO/IEC 27001 Annex A rozwija to dalej w ramach środków kontroli dotyczących relacji z dostawcami, co wyjaśnia, dlaczego klienci często zadają to razem z pytaniami dotyczącymi certyfikacji — zob. także czy przedsiębiorstwo posiada certyfikat ISO 27001. Ustawa o cyberbezpieczeństwie przejmuje to zobowiązanie bez zmian z dyrektywy.