Notranja presoja kontrol za oblak (ISO/IEC 27017 in 27018)
Presoja kontrol za oblak in osebne podatke v oblaku, običajno kot del notranje presoje ISO/IEC 27001.
ISO/IEC 27017 in 27018 sta smernici s kontrolami za oblačne storitve in za zaščito osebnih podatkov v javnem oblaku. Notranja presoja preveri, ali organizacija te kontrole izvaja v okviru sistema ISO/IEC 27001.
Katero težavo rešujemo
Odgovornosti med ponudnikom oblaka in organizacijo niso jasne, pogodbe ne pokrivajo ravnanja z osebnimi podatki, izjava o uporabnosti pa kontrol za oblak ne omenja.
Zakaj je to pomembno
Smernici nista samostojna certifikacijska standarda, zato jih je smiselno presojati znotraj sistema ISO/IEC 27001, kjer postaneta del izjave o uporabnosti in registra tveganj.
Za koga je
- Ponudniki oblačnih storitev, ki jih naročniki sprašujejo po kontrolah.
- Organizacije, ki kritične procese ali osebne podatke prenašajo v oblak.
- Organizacije z ISO/IEC 27001, ki želijo kontrole za oblak dokazati.
Kaj obsega delo
- Razdelitev odgovornosti med ponudnikom in uporabnikom oblaka.
- Kontrole za oblak: ločevanje okolij, nadzor dostopa, beleženje.
- Ravnanje z osebnimi podatki v oblaku in pogodbe z obdelovalci.
- Vrnitev ali odstranitev podatkov ob prenehanju storitve.
- Povezava z izjavo o uporabnosti in registrom tveganj.
Potek dela
Uvodni pogovor: obseg, merila, termin in preverjanje neodvisnosti.
Presojevalni načrt: merila (zahteve ISO/IEC 27001 in kontrole iz smernic ISO/IEC 27017 in 27018), vzorci in seznam intervjuvancev.
Pregled dokumentacije in zapisov.
Presoja: intervjuji, opazovanje in vzorčenje zapisov.
Končni sestanek z ustnim povzetkom.
Poročilo in po dogovoru preverjanje korektivnih ukrepov.
Kaj potrebujemo od vas
- Seznam oblačnih storitev in vloga organizacije (ponudnik, uporabnik ali oboje).
- Pogodbe, pogoji uporabe in pogodbe o obdelavi podatkov.
- Izjava o uporabnosti in register tveganj.
Kaj prejmete
- Presojevalni načrt in program presoje.
- Poročilo o presoji z ugotovitvami, dokazi in merili.
- Seznam neskladnosti in priložnosti za izboljšave.
- Povzetek za vodstvo.
Kaj ni vključeno in kje so meje
- Certifikacija ali izdaja certifikata.
- Neodvisna presoja sistema, ki smo ga pomagali vzpostaviti.
Notranja presoja ni certifikacija. Certifikat izda samo akreditiran certifikacijski organ po svoji presoji, rezultat notranje presoje pa certificiranja ne zagotavlja. Presojamo le sisteme, pri vzpostavitvi katerih nismo sodelovali. Če smo organizaciji svetovali ali pripravljali dokumentacijo, presoje ne prevzamemo ali pa to jasno navedemo in presoje ne predstavimo kot neodvisne. Plačljivega besedila standarda ne povzemamo in ne ponatiskujemo. Za zahteve v celoti uporabite uradno izdajo standarda.
ISOskladnost.com. Če potrebujete svetovanje pri vzpostavitvi sistema, ga zagotavlja ISOskladnost.com. Svetovanje in presoja istega sistema se zaradi neodvisnosti ne združujeta.
Pogosta vprašanja
Ali je mogoče pridobiti certifikat ISO/IEC 27017 ali 27018?
Ne kot samostojen certifikat sistema upravljanja. Smernici dopolnjujeta kontrole, zunanjo potrditev pogoje določi certifikacijski organ, običajno v povezavi z ISO/IEC 27001.
Ali presoja nadomešča presojo ponudnika oblaka?
Ne. Presodimo kontrole organizacije in pogodbene ureditve. Presoje ponudnika oblaka lahko izvedemo le, če jo pogodba omogoča.
Viri
- ISO: ISO/IEC 27017 – kontrole informacijske varnosti za oblačne storitve (odpre se v novem zavihku)
- ISO: ISO/IEC 27018 – zaščita osebnih podatkov v javnem oblaku (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.