stranka želi vedeti, kako je zaščitena naša ponudnica storitev v oblaku, kaj tam izpolnim

To vprašanje spada pod nadzor verige, ne pod lastno varnost

To spada pod člen 21 odstavek 2 pododstavek d NIS2: varnost v dobavni verigi, vključno z razmerjem s svojimi lastnimi dobavitelji. Stranka tu ne sprašuje, ali so tvoji sistemi varni, ampak ali veš in lahko dokažeš, da so to tvoji ponudnik storitev v oblaku. To je drugačen dokument kot na primer tvoja lastna politika dostopa ali tvoja lastna politika šifriranja.

Odgovor običajno sestoji iz dveh plasti. Prvič: ali si sam postavil zahteve za varnost temu dobavitelju, pogodbenoali pri izboru? To odgovoriti na podlagi svojega lastnega nabavnega dossieja, ne na podlagi tega, kar trdi dobavitelj. Drugič: kaj dokazuje sam dobavitelj? Zahtevaj dokument, ki ga normalno že deli s strankami — certifikat ISO 27001 s povzetkom obsega, poročilo SOC 2 ali povzetek njegovih ukrepov NIS2, če sam spada pod direktivo. Če tega certifikata nemaš v svojem dossijeju, je »ne« ali »neznano« pravi odgovor — ne »da« na podlagi predpostavke. To se ujema s varnostne zahteve, ki jih podjetje postavlja svojim lastnim dobaviteljem: to gradivo bi moralo standardno biti tam, tudi če gre za enega velikega partnerja v oblaku namesto dolge verige dobaviteljev.

Odkod prihaja dokument: Prilogo A v primerjavi s pogodbo

ISO/IEC 27001 Priloga A nima ločenega dela »varnost v oblaku«; dokazi so razpršeni med ukrepe upravljanja za razmerja z dobavitelji in dostop. V praksi to pomeni: najprej preverite, ali ste sami že je določeno, katero politiko dostopa in upravljanja poslovnih sredstev velja, saj tam pogosto piše tudi, kako je dostop do okolja v oblaku urejen. Za samega dobavitelja je certifikat ali revidizirano poročilo mesto iskanja, ne tvoja izjava o njihovih sistemih — namreč ne moreš v imenu dobavitelja potrditi, kaj interno počne.