Priprava na kontrole za oblak (ISO/IEC 27017 in 27018)
Priprava kontrol za oblak in osebne podatke v oblaku kot dopolnitev sistema ISO/IEC 27001.
ISO/IEC 27017 in 27018 sta smernici s kontrolami za oblačne storitve in za zaščito osebnih podatkov v javnem oblaku. Priprava pomeni, da organizacija razdeli odgovornosti, uskladi pogodbe, uvede kontrole in jih vključi v izjavo o uporabnosti.
Katero težavo rešujemo
Odgovornosti med ponudnikom oblaka in organizacijo niso jasne, pogodbe ne urejajo osebnih podatkov, naročniki pa zahtevajo dokaz o kontrolah za oblak.
Zakaj je to pomembno
Smernici nista samostojna certifikacijska standarda, zato jih je smiselno uvesti znotraj sistema ISO/IEC 27001 skupaj z oceno tveganj.
Za koga je
- Ponudniki oblačnih storitev (SaaS, PaaS, IaaS).
- Organizacije, ki osebne podatke ali kritične procese prenašajo v oblak.
- Organizacije z ISO/IEC 27001, ki želijo dodati kontrole za oblak.
Kaj obsega delo
- Opredelitev vloge (ponudnik, uporabnik ali oboje) in obsega storitev.
- Matrika odgovornosti med ponudnikom in uporabnikom.
- Kontrole za oblak in zaščito osebnih podatkov.
- Pogodbe z ponudniki oblaka in obdelovalci.
- Vključitev v izjavo o uporabnosti in register tveganj.
Potek dela
Uvodni pogovor in dogovor o obsegu.
Ocena izhodišča in GAP analiza.
Načrt odprave vrzeli s prednostmi.
Politike, postopki in zapisi.
Zbiranje dokazil o delovanju in ozaveščanje zaposlenih.
Notranja presoja in pregled vodstva (po načelu nepristranskosti).
Priprava na zunanjo presojo.
Kaj potrebujemo od vas
- Zunanjo potrditev po ISO/IEC 27017 in 27018 pogoje določi certifikacijski organ, običajno v povezavi z ISO/IEC 27001.
Kaj prejmete
- Matrika odgovornosti za oblačne storitve.
- Poročilo GAP analize kontrol za oblak.
- Osnutek dopolnitev izjave o uporabnosti in registra tveganj.
Kaj ni vključeno in kje so meje
- Izdaje certifikata. To dela samo akreditiran certifikacijski organ.
- Zagotovila, da bo certifikacijska presoja uspešna.
- Tehnične nastavitve oblaka in implementacije kontrol.
- Pravnega mnenja o pogodbah.
- Neodvisne notranje presoje sistema, ki smo ga pomagali pripraviti.
Certifikat izda samo akreditiran certifikacijski organ, ki ga izbere naročnik. Presojevalec ni certifikacijski organ in certifikatov ne izdaja. Priprava ne zagotavlja uspešne certifikacijske presoje. Sistema, ki smo ga pomagali pripraviti, sami ne presojamo kot neodvisni presojevalec. Notranjo presojo istega sistema opravi druga oseba ali tretja stran, to pa se zapiše že v presojevalnem načrtu. Plačljivega besedila standarda ne povzemamo in ne ponatiskujemo. Za zahteve v celoti uporabite uradno izdajo standarda.
ISOskladnost.com. Če želite dolgoročno svetovanje pri gradnji sistema upravljanja, ga zagotavlja ISOskladnost.com, ki ga upravlja isti upravljavec. Svetovanje in presoja istega sistema se zaradi nepristranskosti ločujeta.
Pogosta vprašanja
Ali lahko certificiram samo ISO/IEC 27017?
Ne kot samostojen sistem. Smernici dopolnjujeta ISO/IEC 27001, zunanja potrditev je običajno povezana z njeno certifikacijo, pogoje določi certifikacijski organ.
Ali ga potrebujem, če oblak le uporabljam?
Smernice veljajo tudi za uporabnike oblaka, predvsem pri razdelitvi odgovornosti. Ali je potrditev smiselna, je odvisno od zahtev naročnikov.
Viri
- ISO: ISO/IEC 27017 – kontrole informacijske varnosti za oblačne storitve (odpre se v novem zavihku)
- ISO: ISO/IEC 27018 – zaščita osebnih podatkov v javnem oblaku (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.