kund vill veta hur vår molnleverantör är säkrad, vad fyller jag i där

Denna fråga faller under leverantörsövervakning, inte under din egen säkerhet

Detta hör till artikel 21 stycke 2 punkt d NIS2: säkerhet i leverantörskedjan, inklusive relationen med dina egna leverantörer. Kunden frågar här inte om dina system är säkra, utan om du vet och kan bevisa att din molnleverantör är det. Det är ett annat bevisstycke än till exempel din egen åtkomstpolicy eller din egen krypteringspolicy.

Svaret består vanligtvis av två lager. Först: har du själv ställt säkerhetskrav på den leverantören, kontraktuellt eller vid urval? Det besvarar du utifrån ditt eget inköpsdossier, inte utifrån vad leverantören hävdar. Därefter: vad demonstrerar leverantören själv? Begär det bevisstycke som han normalt redan delar med kunder — ett ISO 27001-certifikat med omfattningsdeklaration, en SOC 2-rapport, eller en sammanfattning av hans NIS2-åtgärder om han själv omfattas av direktiven. Om du inte har det certifikatet i ditt dossier, då är "nej" eller "okänd" det rätta svaret — inte "ja" baserat på ett antagande. Detta ansluter till säkerhetskrav som företaget ställer på sina egna leverantörer: där bör detta bevis normalt ligga, även om det handlar om en stor molnpart i stället för en lång leverantörskedja.

Var beviset kommer ifrån: Annex A kontra kontraktet

ISO/IEC 27001 Annex A har ingen separat "molnsäkerhet"-del; beviset är fördelat över kontrollmåtten för leverantörsrelationer och åtkomst. I praktiken betyder detta: kontrollera först om du själv redan har fastställt vilken åtkomstpolicy och hantering av företagsmittel som gäller, för där står ofta också hur åtkomst till molnmiljön är reglerad. För leverantören själv är certifikatet eller granskningsrapporten källan, inte ett uttalande från dig om deras system — du kan nämligen inte bekräfta på leverantörens vägnar vad han internt gör.