Dla kogo?

Norma ISO 27017 – oparta na normie ISO 27001 (standaryzującej systemy zarządzania bezpieczeństwem informacji) – stworzona została na potrzeby wszelkich podmiotów (niezależnie od charakteru działalności, wielkości czy formy prawnej) będących dostawcami usług w chmurze. Należą do nich:

• prywatne przedsiębiorstwa,
• instytucje publiczne,
• jednostki administracji rządowej,
• organizacje non-profit.

Standard ISO 27017 dotyczy szeroko pojętego bezpieczeństwa informacji w chmurze obliczeniowej. Dlatego obejmuje także zalecenia dla odbiorców usług. Pozwala na określenie bezpieczeństwa relacji pomiędzy dostawcą a klientami. 

Warunkiem uzyskania certyfikatu ISO 27017 jest istniejąca lub jednoczesna certyfikacja systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001.

Informacje o normie

ISO 27017 (właściwie – ISO/IEC 27018, bo jednocześnie stanowi normę Międzynarodowej Komisji Elektrotechnicznej) to międzynarodowa norma zawierająca wskazówki w zakresie świadczenia i korzystania z usług w chmurze obliczeniowej. Bazuje ona na normie ISO 27002 (określającej zasady ustanawiania, wdrażania, eksploatacji, monitorowania, przeglądów, utrzymania i doskonalenia systemów zarządzania bezpieczeństwem informacji), ale rozszerza jej wytyczne, a także wprowadza siedem nowych obszarów kontroli, które dotyczą:

• odpowiedzialności w relacjach pomiędzy dostawcą usług w chmurze a klientem,
• usunięcia (lub zwrotu) informacji po rozwiązaniu współpracy,
• separacji i ochrony wirtualnego środowiska klienta,
• konfiguracji maszyn wirtualnych,
• procedur i działań podejmowanych w związku z przetwarzaniem danych w chmurze,
• monitorowania aktywności klientów korzystających z usług w chmurze,
• dostosowania środowiska wirtualnej sieci i chmury obliczeniowej pod kątem zachowania najwyższych standardów bezpieczeństwa.

Standard ISO 27017 jest wyjątkową normą z zakresu technologii informacyjnej, ponieważ określa nie tylko wymagania dotyczące dostawców, ale i klientów usług chmurowych. To minimalizuje ryzyko związane z faktem, że dane umieszone w chmurze narażone są na szczególnie szeroką gamę zagrożeń. 

Korzyści z wdrożenia

Wdrożenie standardów ISO 27017 pozwala na podniesienie poziomu bezpieczeństwa informacji przechowywanych i przetwarzanych w chmurze. Umożliwia także na jego stałą weryfikację i szybkie reagowanie na ewentualne zagrożenia. Firma, która decyduje się na certyfikację ISO 27017, może liczyć na wzrost zaufania klientów i kontrahentów, którym zależy na gwarancji, że ich dane (także osobowe) są dobrze chronione. 

Certyfikacja ISO 27017 ma bardzo korzystny wpływ na wizerunek przedsiębiorstwa, a tym samym zwiększa jego możliwości rozwoju. Dzięki wdrożeniu najwyższych standardów bezpieczeństwa informacji w chmurze obliczeniowej, zyskuje się:

• szansę na prowadzenie działalności na  rynkach światowych, gdzie norma ISO 27017 jest powszechnie obowiązującym standardem,
• przewagę konkurencyjną w działaniach marketingowych – certyfikacja wyróżnia przedsiębiorstwo na tle firm, które nie wdrożyły zasad ISO 27017,
• ochronę wizerunku firmy, która w przypadku incydentów naruszenia bezpieczeństwa informacji (w szczególności – danych osobowych klientów) jest szczególnie narażona na rozpowszechnienie się negatywnych opinii.

Choć wdrażanie norm ISO nie jest obowiązkiem regulowanym prawem, to już naruszenie ochrony danych osobowych wiąże się z odpowiedzialnością karną. Ponieważ ISO 27017 zapewnia zgodność procedur dotyczących bezpieczeństwa informacji z obowiązującymi przepisami, stosowanie opisanych w normie praktyk minimalizuje ryzyko ewentualnych kar.