întreabă în ce țară sunt stocate datele noastre

Locația stocării în cloud se află sub securitatea lanțului de aprovizionare, nu sub criptare

Această întrebare se încadrează în măsura de securitate a lanțului de aprovizionare din articolul 21 alineatul 2 litera d NIS2: cerințele pe care întreprinderea le impune propriilor furnizori, inclusiv furnizorului de cloud. Țara stocării nu este deci o întrebare despre tehnică, ci despre managementul furnizorilor — ce acorduri au fost încheiate cu acel furnizor și sunt ele documentate. Cine tratează aceasta ca o întrebare factuală izolată și completează imediat "da" fără contract subiacent, răspunde la întrebare în mod tehnic corect, dar pierde fundamentarea pe care clientul de fapt o caută.

Documentul care se atașează de obicei este Acordul de prelucrare a datelor sau lista subcontractorilor furnizorului de cloud, care conține locația centrelor de date. Dacă nu ai asta la îndemână, atunci "încă de determinat" este răspunsul corect aici — nu pentru că ar trebui să rămână necunoscut, ci pentru că a numi o țară fără acel document este o presupunere, nu un fapt. Aceeași documentație este de asemenea relevantă pentru întrebarea dacă întreprinderea impune cerințe de securitate propriilor furnizori: un DPA cu locație fixă este adesea dovada că acea cerință a fost impusă. Unii clienți nu pun de fapt această întrebare pentru locația în sine, ci pentru a verifica dacă criptarea în stare de repaus a fost aplicată — verifică atunci dacă întrebarea nu se aliniază de fapt la politica privind criptografia și criptarea.

Unde aceasta apare în directivă: articolul 21 alineatul 2 litera d

Articolul 21 alineatul 2 litera d NIS2 menționează explicit "securitatea lanțului de aprovizionare, inclusiv aspectele de securitate privind relațiile dintre fiecare entitate și furnizorii sau prestatorii de servicii direcți ai acesteia" ca una din cele zece măsuri obligatorii. Un furnizor de cloud este un asemenea prestator de servicii direct, iar locația stocării datelor este un aspect de securitate al acelei relații. ISO/IEC 27001 Anexa A elaborează aceasta în continuare sub măsurile de control pentru relațiile cu furnizorii, ceea ce explică de ce clienții pun adesea aceasta împreună cu întrebări privind certificarea — vezi de asemenea sau dacă întreprinderea este certificată ISO 27001. Legea privind securitatea cibernetică preia această obligație nemodificată din directivă.