ISO/IEC 27017 Cloud-Sicherheitskontrollen

Was ist der Zweck von ISO 27017?

ISO 27017 ergänzt die ISO / IEC 27002 Rahmen für Cloud-Computing-Umgebungen durch Einbeziehung zusätzlicher Informationen, Sicherheitsmaßnahmen und Implementierungsanleitungen. Dieses Framework bietet Implementierungsanleitungen für 37 Steuerelemente, die in enthalten sind ISO / IEC 27001sowie sieben weitere Anforderungen.

Neue Cloud-Kontrollen, die den folgenden Best-Practice-Code berücksichtigen:

• Wer ist für was zwischen dem Cloud-Dienstanbieter und dem Cloud-Kunden verantwortlich?
• Die Entnahme/Rückgabe von Vermögenswerten bei Vertragsbeendigung.
• Schutz und Trennung der virtuellen Umgebung des Kunden.
• Konfiguration der virtuellen Maschine.
• Administrative Operationen und Verfahren mit der Cloud-Umgebung verknüpft, sodass Kunden relevante Aktivitäten überwachen können.
• Cloud-Kundenüberwachung der Aktivitäten innerhalb der Cloud.
• Ausrichtung der virtuellen und Cloud-Netzwerkumgebung.
• Informationssicherheitskontrollen basierend auf dem ISO 27001-Standard und dem ISO 27017-Framework.

Durch die Übernahme dieses Verhaltenskodex können Cloud-Konsumenten und -Anbieter nun grundlegende Anforderungen an die Informationssicherheit erfüllen, indem sie auswählen relevante Kontrollen und Umsetzungsanleitungen auf der Grundlage von Risikobewertungen für Cloud-Dienste.

Wenn Sie für einen Cloud-Dienstleister arbeiten oder darüber nachdenken, Ihr Unternehmen in die Cloud zu verlagern. Unser ISO 27017-Überblick hilft Ihnen, die Kernkomponenten des Rahmenwerks, neue Kontrollen und die Vorteile dieses Verhaltenskodex für Ihr Unternehmen zu verstehen.

Warum ISO 27017 implementieren?

Für Kunden ist es von entscheidender Bedeutung, Vertrauen in die Sicherheit ihrer Daten in der Cloud zu haben. ISO/IEC 27017 ist ein weltweit anerkanntes Rahmenwerk, das, wenn es umgesetzt wird, die Wahrscheinlichkeit von Datenschutzverstößen wirksam verringert und das Vertrauen der Kunden stärkt, indem es Ihr Engagement für Informationssicherheitstechniken demonstriert.

Wie bereits erwähnt, befasst sich das Framework mit verschiedenen Themen, darunter dem Besitz von Vermögenswerten, der Entfernung und Rückgabe von Vermögenswerten nach Beendigung eines Kundenvertrags sowie der Sicherheit der virtuellen Umgebung eines Kunden.

Das Framework definiert Verwaltungsvorgänge für den Umgang mit einer Cloud-Umgebung – Anforderungen zur Absicherung einer virtuellen Maschine entsprechend den Geschäftsanforderungen.

Als Cloud-Service-Anbieter oder Cloud-Service-Nutzer ist es wichtig zu zeigen, dass Ihr Unternehmen alles Mögliche unternimmt, um die durch Datenschutzverletzungen entstehenden Risiken zu minimieren.

ISO 27017 basiert auf dem ISO 27001-Standard und dem ISO 27002-Framework. Die Implementierung zeigt, dass Ihr Unternehmen Best Practices zum Schutz vor Cloud-bezogenen Bedrohungen sowohl für Cloud-Dienstanbieter als auch für Cloud-Dienstkunden eingeführt hat. Es ergänzt die Anforderungen von ISO/IEC 27002, ersetzt sie jedoch nicht.

Wer sollte ISO 27017 implementieren?

Wenn Sie einen Cloud-Speicherdienst mit SaaS oder Cloud-Speicher direkt in Ihrem Unternehmen betreiben, ist ISO 27017 wichtig, um sicherzustellen, dass Sie Best Practices befolgen.

ISO 27017 wird zunehmend zu einer Anforderung, die für bestimmte Groß- und Regierungsprojekte berücksichtigt werden muss. Da diese Organisationen nur mit Unternehmen zusammenarbeiten, die sich systematisch für die Risikominderung einsetzen.

Alle gesetzlichen, vertraglichen, behördlichen oder sonstigen Cloud-spezifischen Informationssicherheitsanforderungen wirken sich auf die Auswahl geeigneter Informationssicherheitskontrollen für die Implementierung des Frameworks aus.

Diese Zertifizierung ist ein Muss für jedes Unternehmen, das sichere Cloud-Dienste nutzt oder seinen Kunden anbieten möchte. Es beweist, dass sie Informationssicherheitskontrollen gemäß ISO 27017 implementiert haben.

Dies ist eine großartige Möglichkeit für jedes Unternehmen, sein Engagement für den Schutz von Kundendaten zu zeigen. Durch die Zertifizierung heben Sie sich von der Konkurrenz ab und geben Ihren Kunden Sicherheit. Sie stellen Ihr Wissen und Ihre Expertise zu diesem wichtigen Thema unter Beweis.

Schafft Vertrauen in Ihr Unternehmen

Bietet Kunden und Partnern eine solide Validierung über die Sicherheit ihrer Daten und Informationen.

Sichert Ihr Markenimage

Reduziert die Möglichkeit negativer Aufmerksamkeit aufgrund von Datenschutzverletzungen.

Schutz vor Bußgeldern

Demonstriert konsistente Standards, was es einfacher macht, international Geschäfte zu tätigen und als vertrauenswürdiger Anbieter bekannt zu werden.

Trägt zum Geschäftswachstum bei

Kommunikation ist der Schlüssel zu Informationssicherheits-Governance-Prozessen. Sie sind damit betraut, Ihr Unternehmen und seine verschiedenen Vermögenswerte zu schützen, aber das darf kein isolierter Prozess sein.

Mit welchen Standards lässt sich ISO 27017 integrieren?

ISO 27017 ist mit anderen ISO-Standards kompatibel. Dazu gehören die folgenden:

• ISO 27001: Spezifikationen für den Betrieb eines Informationssicherheits-Managementsystems.
• ISO 27002: eine Liste grundlegender Sicherheitskontrollen, die ein Unternehmen anwenden kann.
• ISO 27018 : Standards zum Schutz personenbezogener Daten in der Cloud.

ISO 27017 ist eine Erweiterung von ISO 27002, die zusätzliche Informationen für Informationssicherheitskontrollen enthält, die zum Schutz von Daten in der Cloud erforderlich sind. Darüber hinaus werden mehrere neue Standards hinzugefügt und die Anwendbarkeit des Standards auf die Cloud-Computing-Branche verbessert.

ISO 27017 bietet Richtlinien sowohl für Anbieter als auch für Nutzer von Cloud-Diensten. Es wird darauf hingewiesen, dass aufgrund der Art und Weise, wie Cloud Computing funktioniert, dieselbe Organisation sowohl Kunde als auch Anbieter von Cloud-Diensten sein kann.

Wie lässt sich ISO 27017 in ISO 27002 integrieren?

ISO 27017 ist ähnlich aufgebaut wie ISO 27002, nämlich in Form einer Checkliste potenzieller Sicherheitskontrollen. Einzelne Organisationen benötigen Welche Kontrollen auf ihre Umstände anwendbar sind, kann je nach ihrer Position als Cloud-Dienstleister, Kunde oder beides unterschiedlich sein.

Die Richtlinien in dieser Internationalen Standard bietet Unterstützung für die Kontrolle der Informationssicherheit Implementierung sowohl durch Cloud-Service-Kunden als auch durch Anbieter. Es ist ein hervorragendes Framework für alle, die ihren Kunden Cloud-Dienste anbieten.

Spezifische Kontrollen gelten sowohl für Anbieter als auch für Kunden, während einige spezifische Anwendungen haben.

Der bemerkenswerteste Beitrag von ISO 27002 zu ISO 27017 ist die Klarstellung zu Backups. Es sagt, dass:

• Kunden von Cloud-Diensten sollten die von ihnen benötigte Backup-Funktionalität beim Anbieter angeben, prüfen, ob der angebotene Dienst ihren Anforderungen entspricht, und ihre eigenen Vorkehrungen treffen, wenn der bereitgestellte Dienst nicht ausreicht; Und
• Cloud-Dienstanbieter sollten „sicheren und separaten Zugriff auf Backups“ haben und die Backup-Funktionen festlegen.

ISO 27001, ISO 27017 oder ISO 27018 – Wofür soll ich mich entscheiden?

ISO 27001 ist ein idealer Eckpfeilerstandard für jedes Unternehmen, das dies anstrebt seine Daten sichern. Es ist mittlerweile der weltweit am weitesten verbreitete Standard. Es etabliert ein System zur Aufrechterhaltung der Compliance bei Informationssicherheitskontrollen und ist der einzige Standard, anhand dessen ein (gültiges) Zertifikat erworben werden kann.

Das internationale Rahmenwerk ISO 27017 ist zweifellos für Unternehmen relevant, die Cloud-basierte Dienste anbieten und alle Grundlagen der Cloud-Computing-Sicherheit abdecken möchten.

ISO 27018 richtet sich eher an Unternehmen, die personenbezogene Daten verwalten und sicherstellen möchten, dass diese angemessen geschützt werden.

Cloud-Service-Anbieter können ISO 27001 in Kombination mit ISO 27017 übernehmen, während Cloud Unternehmen mit einem hohen Volumen an personenbezogenen Daten wird mit ziemlicher Sicherheit alle drei implementieren: ISO 27001, ISO 27017 und ISO 27018.