sprašujejo, v kateri državi so naši podatki shranjeni

Lokacija shranjevanja v oblaku spada pod varnost verige, ne pod šifriranje

To vprašanje spada pod ukrep varnosti verige iz člena 21 odstavka 2 točke d Direktive NIS2: zahteve, ki jih podjetje postavlja svojim lastnima dobaviteljem, vključno z dobaviteljem oblaka. Država shranjevanja zato ni vprašanje o tehnologiji, ampak o upravljanju dobaviteljev — kakšni so dogovori z dobaviteljem in ali so to dokumentirani. Kdor to obravnava kot samostojno dejansko vprašanje in takoj vnese »da« brez osnovnega pogodbe, tehnično pravilno odgovori na vprašanje, vendar mu manjka utemeljitev, ki jo pravzaprav želi naročnik.

Dokazilo, ki je povezano s tem, je običajno Pogodba o obdelavi podatkov ali seznam poddobaviteljev dobavitelja oblaka, v katerem je navedena lokacija podatkovnih centrov. Če tega nemaš pri roki, je »še neodločeno« pravilen odgovor — ne ker to ostane neznano, ampak ker navedba države brez tega dokumenta predstavlja predpostavko, ne dejstvo. Ista dokumentacija je pomembna tudi za vprašanje ali podjetje postavlja varnostne zahteve svojim lastnskim dobaviteljem: pogodba o obdelavi podatkov s fiksno lokacijo je pogosto dokaz, da je bila ta zahteva uveljavljena. Nekateri naročniki tega sicer ne vprašajo za samo lokacijo, ampak za preverjanje, ali je bila uporabljena šifriranje v mirovanju — preveri, ali se vprašanje ne nanaša bolj na politiko glede kriptografije in šifriranja.

Kje je to v direktivi: člen 21 odstavek 2 točka d

Člen 21 odstavek 2 točka d Direktive NIS2 eksplicitno omenja »varnost verige dobave, vključno z varnostnimi vidiki odnosov med vsako entiteto in njenimi neposrednimi dobavitelji ali ponudniki storitev« kot enega od desetih obveznih ukrepov. Dobavitelj oblaka je tak neposredni ponudnik storitev, in lokacija shranjevanja podatkov je vidik varnosti tega razmerja. ISO/IEC 27001 Dodatek A to naprej razvija v okviru kontrolnih ukrepov za razmerja z dobavitelji, kar pojasnjuje, zakaj naročniki to pogosto zastavljajo skupaj z vprašanji o certificiranju — glej tudi ali je podjetje certificirano po ISO 27001. Zakon o kibernetski varnosti prevzame to obveznost iz direktive brez sprememb.