¿Qué debemos preguntar a un proveedor SaaS sobre seguridad antes de firmar?

Haga preguntas cuyas respuestas pueda comprobar y que importen si algo sale mal. Evidencias: qué informes o certificados independientes cubren el servicio que compra, como un informe SOCSOC: security operations centre (centro de operaciones de seguridad). Un equipo, a menudo activo las 24 horas, que vigila los ataques y responde a ellos. 2 Tipo II o un certificado ISO/IEC 27001, con alcance y fecha, y si puede leerlos. Datos: dónde se almacenan y tratan, qué subencargados intervienen, si se usan para entrenar modelos, cuánto tiempo se conservan y cómo los recupera en un formato útil cuando se vaya. Acceso: inicio de sesión único, MFA obligatoria, permisos por roles y registros de auditoría exportables. Incidentes: con qué rapidez le avisan, por qué canal y qué apoyo le dan para sus propias obligaciones de notificación según el RGPDRGPD: Reglamento General de Protección de Datos. La ley europea de protección de datos (Reglamento (UE) 2016/679). o NIS2NIS2: segunda directiva europea sobre seguridad de las redes y de la información. La ley europea de ciberseguridad (Directiva (UE) 2022/2555), que impone obligaciones de seguridad y de notificación de incidentes a muchas empresas.. Resiliencia: copias de seguridad, objetivos de recuperación y cómo se protegen frente al mal uso de una cuenta de administración. Vulnerabilidades: cómo gestionan los avisos y con qué rapidez parchean. Lleve las respuestas clave al contrato o al contrato de encargo del tratamiento, no solo a un cuestionario. Un proveedor más pequeño con respuestas claras y honestas puede ser más seguro que uno grande con respuestas vagas.

← Las 25 preguntas sobre Seguridad en la nube y SaaSTodos los temas