Druga edycja ISO/IEC 27017:2026 – najważniejsze zmiany w zabezpieczeniach chmurowych

Przez dziesięć lat firmy wdrażające bezpieczeństwo usług chmurowych opierały się na dokumencie napisanym w innej epoce technologicznej. ISO/IEC 27017:2015 powstało zanim kontenery, orkiestracja i architektura bezserwerowa stały się standardem w projektowaniu systemów. Opublikowana w lipcu 2026 roku druga edycja normy – ISO/IEC 27017– ma to nadrobić, dopasowując wytyczne dotyczące bezpieczeństwa chmury do zaktualizowanej normy bazowej ISO/IEC 27002:2022.

Najważniejsze fakty w pigułce

Zanim przejdziemy do szczegółów, kilka informacji, które warto znać, nawet jeśli o normie słyszy się pierwszy raz:

• ISO/IEC 27017 to kodeks postępowania dotyczący bezpieczeństwa informacji w usługach chmurowych (nie wymaganie certyfikacyjne samo w sobie), opracowany wspólnie przez Międzynarodową Organizację Normalizacyjną (ISO) i Międzynarodową Komisję Elektrotechniczną (IEC).
• Pierwsza edycja normy ukazała się w 2015 roku i przez ponad dekadę była jedynym punktem odniesienia w tym obszarze.
• Druga edycja, ISO/IEC 27017:2026, została oficjalnie opublikowana 27 lipca 2026 roku i zastępuje wersję z 2015 roku.
• Norma dotyczy dwóch stron relacji chmurowej: CSP (Cloud Service Provider) – dostawcy usług chmurowych, oraz CSC (Cloud Service Customer) – klienta korzystającego z tych usług.
• Norma bazowa, na której opiera się ISO/IEC 27017, to ISO/IEC 27002 – ogólny katalog zabezpieczeń informacji. Jego aktualna wersja pochodzi z 2022 roku, stąd konieczność dostosowania także normy chmurowej.

Dlaczego rewizja była nieunikniona

Pierwsza edycja normy budowała swoje zabezpieczenia na strukturze ISO/IEC 27002:2013 – dokumentu, który w 2022 roku doczekał się gruntownej przebudowy: ze 114 zabezpieczeń podzielonych na 14 kategorii tematycznych powstał zbiór 93 zabezpieczeń pogrupowanych w zaledwie cztery obszary (organizacyjne, dotyczące ludzi, fizyczne i technologiczne). Norma dla chmury musiała pójść tą samą drogą, żeby oba dokumenty dało się stosować równolegle, bez przekładania numeracji i krzyżowych odniesień między dwiema różnymi logikami porządkowania.

Nowy szkielet dokumentu

Druga edycja rezygnuje z rozbudowanej, wielopoziomowej klasyfikacji na rzecz prostszej taksonomii zabezpieczeń, spójnej z resztą rodziny norm 27000. Do każdego zabezpieczenia przypisano też atrybuty ułatwiające filtrowanie i mapowanie wymagań – rozwiązanie, które sprawdziło się już w ISO/IEC 27002:2022 i pozwala zespołom bezpieczeństwa szybciej odnaleźć kontrolki istotne z perspektywy konkretnego ryzyka, zamiast przeszukiwać cały dokument liniowo.

Mniej dedykowanych zabezpieczeń chmurowych, ale nie mniej ochrony

Najbardziej zauważalną zmianą liczbową jest redukcja zabezpieczeń oznaczonych prefiksem CLD, zarezerwowanych wyłącznie dla środowisk chmurowych – z siedmiu do czterech. Nie oznacza to jednak okrojenia zakresu ochrony. Znaczna część dotychczasowych wytycznych CLD została po prostu wchłonięta i rozbudowana w zaktualizowanej wersji ISO/IEC 27002:2022, która sama w sobie stała się bardziej uniwersalna i lepiej adresuje zagadnienia charakterystyczne dla środowisk rozproszonych. Norma chmurowa koncentruje się teraz na tym, co rzeczywiście wymaga osobnego potraktowania – reszta jest już „wbudowana” w podstawowy katalog zabezpieczeń, choć model współdzielonej odpowiedzialności między dostawcą a klientem pozostaje fundamentem, na którym opiera się cała norma.

Obszary, których wcześniej brakowało

Druga edycja wprowadza też zupełnie nowe tematy, których nie było w wersji z 2015 roku:

• Rola pośredników chmurowych – broker chmurowy, integrator czy niezależny audytor bezpieczeństwa to dziś standardowi uczestnicy łańcucha dostaw usług cloudowych, a poprzednia edycja normy w ogóle ich nie uwzględniała. Nowe wytyczne porządkują odpowiedzialność tych podmiotów wobec dostawcy i klienta.
• Shadow IT – wykrywanie i ograniczanie nieautoryzowanego korzystania z usług chmurowych przez pracowników stało się osobnym obszarem kontroli, co odzwierciedla skalę problemu w organizacjach, gdzie działy poza IT samodzielnie uruchamiają narzędzia SaaS bez wiedzy zespołu bezpieczeństwa.

Wytyczne dogonione przez technologię

Norma została też uzupełniona o zagadnienia, które dekadę temu praktycznie nie istniały w powszechnym użyciu: orkiestrację kontenerów oraz architekturę serverless. To istotna zmiana, bo dotychczasowe wytyczne z 2015 roku zakładały w dużej mierze model klasycznych maszyn wirtualnych – dziś coraz częściej nieadekwatny do sposobu, w jaki firmy faktycznie budują swoje środowiska chmurowe.

Co to oznacza dla dostawców i klientów chmury

Norma nadal obejmuje dwie strony relacji chmurowej – dostawców usług (CSP) i ich klientów (CSC)– i nadal nie funkcjonuje jako samodzielny standard, lecz jako rozszerzenie systemu zarządzania bezpieczeństwem informacji opartego na ISO/IEC 27001. Dla organizacji, które traktują bezpieczeństwo chmury poważnie, druga edycja to jednak wyraźny sygnał: warto zweryfikować, czy dotychczasowe procedury nadążają za realną architekturą wykorzystywanych dziś usług, a nie za tą sprzed dekady.