ISO/IEC 27017 – varnost v oblaku
Smernice in kontrole za oblačne storitve, ki dopolnjujejo ISO/IEC 27002.
ISO/IEC 27017 vsebuje smernice in dodatne kontrole informacijske varnosti za oblačne storitve. Ni samostojen sistem upravljanja: uporablja se skupaj z ISO/IEC 27001 in 27002 za ponudnike in uporabnike oblaka.
Katero težavo rešujemo
Odgovornosti med ponudnikom oblaka in uporabnikom niso jasno razdeljene, pogodbe ne pokrivajo vsega, naročniki pa zahtevajo dokaz o varnosti oblačne storitve.
Zakaj je to pomembno
Standard ne določa zahtev za sistem upravljanja, ampak dopolnjuje kontrole varnosti. Koristen je pri razdelitvi vlog, ločevanju okolij in nadzoru nad nedovoljeno uporabo oblaka.
Za koga je
- Ponudniki oblačnih storitev (SaaS, PaaS, IaaS), ki jih naročniki presojajo.
- Organizacije, ki kritične procese prenašajo v oblak in želijo urediti odgovornosti.
- Organizacije z ISO/IEC 27001, ki želijo dodati kontrole za oblak v izjavo o uporabnosti.
Kaj obsega delo
- Razdelitev odgovornosti med ponudnikom in uporabnikom oblaka.
- Dodatne kontrole za oblak, na primer ločevanje virtualnih okolij in odkrivanje nedovoljene uporabe oblaka.
- Vrnitev ali odstranitev sredstev ob prenehanju storitve.
- Nadzor dostopa, beleženje in spremljanje v oblaku.
- Povezava z izjavo o uporabnosti in registrom tveganj po ISO/IEC 27001.
Potek dela
Opredelitev vloge organizacije (ponudnik, uporabnik ali oboje) in obsega storitev.
Pregled kontrol glede na obstoječe stanje (GAP analiza).
Pregled pogodb in dokumentacije ponudnikov oblaka.
Poročilo z ugotovitvami in priporočili, po potrebi kot del notranje presoje ISO/IEC 27001.
Kaj potrebujemo od vas
- Seznam oblačnih storitev in vlog (ponudnik, uporabnik ali oboje).
- Pogodbe in pogoji uporabe z ponudniki oblaka.
- Obstoječa izjava o uporabnosti in register tveganj.
Kaj prejmete
- Matrika odgovornosti za oblačne storitve.
- Poročilo GAP analize kontrol za oblak.
- Priporočila za dopolnitev izjave o uporabnosti in dokumentacije.
Kaj ni vključeno in kje so meje
- Tehnična konfiguracija oblaka in testiranje ranljivosti.
- Neodvisna potrditev varnosti ponudnika oblaka.
- Certifikacija: standard ni samostojen certifikacijski standard.
Standard je nabor smernic in kontrol, ne zahtev za certifikacijski sistem upravljanja. Presojevalec ni certifikacijski organ in ne izdaja certifikatov. Svetovalni pregled in notranja presoja nista zunanja certifikacijska presoja. Besedila standardov so avtorsko zaščitena in so na voljo pri ISO ali nacionalnem standardizacijskem organu. Na strani ni prepisanih zahtev standarda.
Pogosta vprašanja
Ali je ISO/IEC 27017 samostojen certifikat?
Ne. Standard vsebuje smernice in kontrole, ne zahtev za sistem upravljanja. Zunanja potrditev je običajno povezana s certifikacijo ISO/IEC 27001, pogoje pa določi izbrani certifikacijski organ.
Ali standard velja za uporabnike ali ponudnike oblaka?
Za oboje. Nekatere kontrole so namenjene ponudniku, druge uporabniku, nekatere obema. Zato je prvi korak vedno ugotovitev vloge organizacije.
Katera izdaja velja?
Veljavno izdajo in prehodna pravila preverite pri ISO ali pri certifikacijskem organu, saj se izdaje standardov posodabljajo.
Ali ISO/IEC 27017 potrebujem, če že imam ISO/IEC 27001?
Ni nujno. Če uporabljate ali nudite oblačne storitve, lahko kontrole iz tega standarda vključite v izjavo o uporabnosti, če to izhaja iz vaše ocene tveganj ali zahtev naročnikov.
Viri
- ISO/IEC 27017 – kontrole informacijske varnosti za oblačne storitve (odpre se v novem zavihku)
- ISO/IEC 27002:2022 – kontrole informacijske varnosti (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.