zoznam otázok chce vedieť, ktoré cloudové služby používame na naše údaje

Poskytovatelia cloudových služieb sú súčasťou reťazovej otázky

Otázka týkajúca sa používaných cloudových služieb sa v drvivej väčšine zoznamov otázok nachádza pod širšou témou riadenia dodávateľov, nie pod samostatnou kapitolou "cloud". Zákazník chce vedieť, či má vaša spoločnosť prehľad o tom, kde sú údaje firmy umiestnené a kto k nim má prístup. Konkrétna odpoveď: uveďte poskytovateľov, ktorí spracúvajú osobné údaje alebo kritické obchodné údaje (majte na mysli veľkých poskytovateľov hyperscale, ale počítajte aj s účtovníckim programom alebo CRM v cloude), a uveďte, či s tým súvisia zmluvné dohody o bezpečnosti.

Úplná odpoveď pozostáva z dvoch častí: názvu poskytovateľa a dôkazu, že riadiť túto vzťah. Druhá časť je miestom, kde sa väčšina podnikateľov zasekne — nie preto, že by nepoužívali cloudové služby, ale preto, že nemajú prehľad o tom, ktoré dohody sú v tejto veci zaznamenané. Ak takýto prehľad chýba, je odpoveď "na určenie" čestnejšia ako vymenúť zoznam bez podloženia. Táto téma priamo súvisí s otázkou, či podnik stanovuje bezpečnostné požiadavky svojim vlastným dodávateľom": poskytovateľ cloudových služieb je v tom zmysle len dodávateľ, a požiadavky, ktoré sa na neho vzťahujú — zmluvy, zmluvy o úrovni služieb, dohody o incidentoch — sú presne to, o čo sa tu žiada.

Kde sa to nachádza v smernici: článok 21 odsek 2

Článok 21 odsek 2 smernice NIS2 uvádza zabezpečenie dodávateľského reťazca, vrátane vzťahu medzi jednotlivými subjektmi a ich priamymi dodávateľmi, ako jedno z desiatich povinných opatrení. Poskytovatelia cloudových služieb spadajú pod tento reťazec. ISO/IEC 27001 to ďalej rozpracúva v Prílohe A, kde sú explicitne uvedené vzťahy s dodávateľmi a riadenie majetku — vrátane údajov u tretích strán —; kto už má proces na prístupovú politiku a riadenie majetku proces na prístupovú politiku a riadenie majetkuuž väčšinou má aj zadefinované, ktoré cloudové služby do toho spadajú. Zákon o kybernetickej bezpečnosti túto povinnosť preberá hneď po nadobudnutí účinnosti.