ISO/IEC 27017 a ISO 27001 i ISO 27018 – czym różnią się te normy?

Trzy litery i cyfra różnicy potrafią wprowadzić spore zamieszanie. ISO 27001, ISO 27017, ISO 27018 – dla osoby niezwiązanej na co dzień z bezpieczeństwem informacji te oznaczenia brzmią niemal identycznie, a odpowiadają za zupełnie różne obszary ochrony danych. Zrozumienie, gdzie kończy się jedna norma, a zaczyna druga, jest kluczowe zwłaszcza dla firm, które planują wdrożenie zabezpieczeń w środowisku chmurowym i nie chcą przepłacić za certyfikację czegoś, czego w ogóle nie potrzebują.

W skrócie: co odróżnia obie normy

• ISO/IEC 27017 to kodeks postępowania dotyczący bezpieczeństwa informacji w usługach chmurowych – nie jest samodzielnym systemem zarządzania, lecz rozszerzeniem skupionym na cloud computing.
• ISO/IEC 27001 to norma określająca wymagania dla całego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) – to jedyna z tej trójki, którą można certyfikować niezależnie.
• ISO/IEC 27018 dotyczy wąskiego, ale istotnego wycinka tematu: ochrony danych osobowych (PII) przetwarzanych w chmurach publicznych.
• Obie normy chmurowe – 27017 i 27018 – bazują na tym samym fundamencie: systemie zarządzania zbudowanym zgodnie z ISO/IEC 27001.
• Norma ISO/IEC 27018 pochodzi z 2014 roku, a ISO/IEC 27017 w swojej pierwszej wersji – z 2015 roku; obie zostały pomyślane jako uzupełnienie tej samej bazy.

ISO 27017 vs ISO 27001 – inny poziom, inny cel

Najprostszy sposób na zrozumienie różnicy między tymi normami to spojrzenie na poziom, na którym każda z nich działa.

W praktyce oznacza to, że firma nie może „mieć tylko ISO 27017” – żeby w ogóle mówić o zgodności z tą normą, musi najpierw dysponować działającym systemem zarządzania bezpieczeństwem informacji, opartym na ISO 27001. Dopiero na tym fundamencie nadbudowuje się dodatkowe zabezpieczenia dotyczące chmury.

ISO 27017 vs ISO 27018 – bezpieczeństwo kontra prywatność

Drugie zestawienie bywa mylące z innego powodu – obie normy dotyczą tej samej domeny (chmura), ale patrzą na nią z zupełnie innej perspektywy. ISO/IEC 27017 koncentruje się na bezpieczeństwie informacji w środowisku chmurowym, a więcej o jej wymaganiach i zastosowaniu piszemy w artykule „ISO 27017 – jak skutecznie zabezpieczyć dane w chmurze”.

Obie normy nie konkurują ze sobą – w wielu organizacjach wdraża się je równolegle, ponieważ adresują różne ryzyka. Dostawca chmury publicznej, który przetwarza dane osobowe swoich klientów, zwykle potrzebuje obu: 27017 dla ogólnego bezpieczeństwa środowiska, 27018 dla wykazania zgodności w obszarze prywatności.

Który wariant wybrać w praktyce

Decyzja rzadko sprowadza się do wyboru jednej normy kosztem drugiej – to raczej pytanie o kolejność i zakres wdrożenia:

• Organizacja nieposiadająca jeszcze certyfikatu ISO 27001 powinna zacząć od budowy systemu zarządzania bezpieczeństwem informacji – bez tego fundamentu żadne rozszerzenie chmurowe nie ma podstawy prawnej ani formalnej do wdrożenia.
• Firma świadcząca usługi chmurowe (CSP) niemal zawsze skorzysta na wdrożeniu ISO 27017 – to standard, którego coraz częściej wymagają klienci instytucjonalni na etapie oceny dostawców.
• Podmiot przetwarzający w chmurze dane osobowe na dużą skalę powinien rozważyć dodatkowo ISO 27018, zwłaszcza jeśli działa w sektorach regulowanych, gdzie zgodność z RODO jest przedmiotem regularnych kontroli.

Zrozumienie tej hierarchii – ISO 27001 jako fundament, ISO 27017 i ISO 27018 jako wyspecjalizowane nadbudowy – pozwala uniknąć typowego błędu, jakim jest próba wdrożenia normy chmurowej w oderwaniu od podstawowego systemu zarządzania bezpieczeństwem informacji.