cliente quer saber como nosso fornecedor de nuvem está protegido, o que preencho ali

Esta questão abrange supervisão da cadeia, não a sua própria segurança

Isto enquadra-se no artigo 21.º n.º 2 alínea d) NIS2: segurança na cadeia de abastecimento, incluindo a relação com os seus próprios fornecedores. O cliente não está a questionar se os seus sistemas são seguros, mas se tem conhecimento e pode demonstrar que o fornecedor de nuvem o é. Este é um documento de prova diferente do que, por exemplo, a sua própria política de acesso ou a sua própria política de encriptação.

A resposta geralmente consiste em duas camadas. Primeiro: estabeleceu você próprio requisitos de segurança junto desse fornecedor, quer contratualmente quer na seleção? Isso responde-se com base no seu próprio dossier de compras, não com base no que o fornecedor afirma. Depois: o que demonstra o próprio fornecedor? Solicite o documento de prova que normalmente já partilha com clientes — um certificado ISO 27001 com declaração de âmbito, um relatório SOC 2, ou um resumo das suas medidas NIS2 se ele próprio se enquadra na diretiva. Se não tem esse certificado no seu dossier, então "não" ou "desconhecido" é a resposta correta — não "sim" com base numa suposição. Isto enquadra-se com requisitos de segurança que a empresa estabelece junto dos seus próprios fornecedores: este documento de prova deve estar normalmente presente, mesmo que se trate de um único grande parceiro de nuvem em vez de uma longa cadeia de fornecedores.

De onde vem a prova: Anexo A versus o contrato

A norma ISO/IEC 27001 Anexo A não tem uma secção separada de "segurança da nuvem"; a prova está dispersa pelas medidas de controlo para relações com fornecedores e acesso. Na prática, isto significa: primeiro verifique se você próprio já definiu qual é a política de acesso e a gestão de ativos aplicável, porque frequentemente também descreve como o acesso ao ambiente de nuvem é gerido. Para o fornecedor propriamente dito, o certificado ou relatório de auditoria é a fonte, não uma declaração sua sobre os seus sistemas — não pode confirmar em nome do fornecedor o que ele faz internamente.