zákazník chce vedieť, ako je zabezpečený náš poskytovateľ cloudových služieb, čo tam vyplním

Táto otázka spadá pod dohľad reťazca, nie pod vašu vlastnú bezpečnosť

Toto patrí pod článok 21 odsek 2 písm. d NIS2: bezpečnosť v dodávateľskom reťazci vrátane vzťahu s vašimi vlastnými dodávateľmi. Klient tu nepýta, či sú vaše systémy bezpečné, ale či viete a dokážete preukázať, že dodávateľ cloudových služieb áno. Toto je iný dôkazný dokument ako napríklad váša vlastná politika prístupu alebo vaša vlastná politika šifrovania.

Odpoveď zvyčajne pozostáva z dvoch vrstiev. Najprv: stanovili ste si sami bezpečnostné požiadavky voči tomuto dodávateľovi, zmluvne alebo pri výbere? To si odpoviete na základe vášho vlastného nákupného spisu, nie na základe toho, čo dodávateľ tvrdí. Potom: čo si preukáže samotný dodávateľ? Požiadajte o dôkazný dokument, ktorý normálne už zdieľa so zákazníkmi — certifikát ISO 27001 so stanovením rozsahu, správa SOC 2 alebo zhrnutie jeho opatrení NIS2, ak sam spadá pod smernice. Ak tento certifikát nemáte vo vašom spise, potom je "nie" alebo "neznáme" správna odpoveď — nie "áno" na základe predpokladu. Toto sa vzťahuje na bezpečnostné požiadavky, ktoré podnik stanovuje svojim vlastným dodávateľom: tam by tento dôkaz normálne mal byť, aj keď ide o jedného veľkého partnera cloudových služieb namiesto dlhého reťazca tovarov v jednotlivých fázach.

Kde pochádza dôkaz: Príloha A verzus zmluva

ISO/IEC 27001 Príloha A nemá samostatný prvok "bezpečnosť v cloude"; dôkaz je rozprostretý medzi opatrenia na riadenie vzťahov s dodávateľmi a prístupu. Z praktického hľadiska to znamená: najprv skontrolujte, či ste si sami už určili, ktorá politika prístupu a riadenie majetku podnikania sa uplatňuje, pretože v tom je často uvedené aj to, ako je regulovaný prístup do cloudového prostredia. Pre samotného dodávateľa je certifikát alebo auditná správa zdrojom, nie vyhlásením od vás o ich systémoch — napokon nemôžete v mene dodávateľa potvrdiť, čo on robí interné.