Kto powinien mieć ISO 27018 – i dlaczego to ważniejsze niż myślisz

Gdy pada nazwa ISO 27018, większość firm reaguje podobnie: „To chyba dla wielkich dostawców chmury, nie dla nas.” I podobnie jak w przypadku wielu innych regulacji – ta intuicja jest myląca. ISO 27018 dotyczy znacznie szerszego kręgu podmiotów niż tylko hyperscalerów pokroju AWS czy Microsoft Azure. I dla wielu z nich posiadanie tego certyfikatu jest nie tyle dobrą praktyką, co realną koniecznością rynkową.

Kogo dotyczy ISO 27018 – lista jest dłuższa niż myślisz

Norma ISO 27018 skierowana jest do wszelkich firm i organizacji, niezależnie od ich branży, wielkości czy formy prawnej, które świadczą usługi w chmurze i tym samym przetwarzają w niej dane osobowe swoich klientów. W praktyce oznacza to bardzo szeroki krąg podmiotów.

Dostawcy SaaS – firmy oferujące oprogramowanie jako usługę: systemy CRM, ERP, platformy HR, narzędzia do zarządzania projektami, systemy medyczne, platformy e-learningowe. Jeśli Twoje oprogramowanie przetwarza dane osobowe klientów końcowych w chmurze – ISO 27018 Cię dotyczy.

Dostawcy IaaS i PaaS – firmy oferujące infrastrukturę lub platformy chmurowe, na których ich klienci przetwarzają własne dane. Nawet jeśli nie masz bezpośredniego kontaktu z danymi osobowymi użytkowników końcowych – jeśli Twoja infrastruktura je przechowuje, ISO 27018 jest adekwatnym standardem.

Firmy IT świadczące usługi zarządzane (MSP) – dostawcy zarządzanych usług IT, którzy w ramach swoich usług uzyskują dostęp do danych klientów przechowywanych w chmurze. Zarządzanie infrastrukturą klienta to przetwarzanie danych – i rodzi obowiązki procesora.

Instytucje publiczne i jednostki administracji – które świadczą usługi w chmurze, mogą to być instytucje publiczne takie jak szkoły, placówki służby zdrowia czy organizacje non-profit. Dla takich podmiotów certyfikat ISO 27018 jest dowodem odpowiedzialnego zarządzania danymi obywateli.

Startupy technologiczne i scale-upy – firmy na etapie wzrostu, które zdobywają pierwszych dużych klientów korporacyjnych lub wchodzą na rynki zagraniczne. To moment, w którym klienci zaczynają wymagać certyfikatów – i moment, w którym ich brak może zablokować kontrakt.

Dlaczego to ważniejsze niż myślisz – pięć scenariuszy, które zmieniają perspektywę

Scenariusz 1: Nowy klient korporacyjny pyta o certyfikat. Dział zakupów dużej firmy przysyła ankietę bezpieczeństwa przed podpisaniem umowy. Jedno z pytań: „Czy posiadacie certyfikat ISO 27018 lub równoważny?” Firma bez certyfikatu odpowiada „nie” i musi tłumaczyć, w jaki inny sposób gwarantuje bezpieczeństwo danych. Firma z certyfikatem odpowiada „tak” i dołącza numer certyfikatu. Różnica w czasie obsługi zapytania: kilka godzin vs. kilka tygodni.

Scenariusz 2: Przetarg publiczny z wymaganiem certyfikacji. Specyfikacja przetargu zawiera wymóg posiadania certyfikatu bezpieczeństwa danych w chmurze. Dostawca bez certyfikatu nie może przystąpić do postępowania. Wartość kontraktu: kilkaset tysięcy złotych rocznie. Koszt certyfikacji ISO 27018: ułamek tej kwoty.

Scenariusz 3: Kontrola UODO po incydencie. Urząd Ochrony Danych Osobowych wszczyna postępowanie po zgłoszeniu naruszenia. Firma z certyfikatem ISO 27018 może wykazać, że posiadała i stosowała systemy zarządzania ochroną danych osobowych zgodne z uznanym standardem. To nie eliminuje ryzyka kary – ale znacząco wpływa na jej wysokość i przebieg postępowania.

Scenariusz 4: Ekspansja na rynek zachodnioeuropejski. Firma wchodzi na rynek niemiecki lub skandynawski. Tamtejsi klienci B2B oczekują certyfikatów bezpieczeństwa jako standardu, a nie wyjątku. ISO 27018 jest rozpoznawalnym, uznanym dokumentem, który skraca rozmowę o bezpieczeństwie do minimum.

Scenariusz 5: Due diligence przed inwestycją lub akwizycją. Inwestor lub kupujący przeprowadza audyt due diligence. Brak certyfikatów bezpieczeństwa danych jest flagą ryzyka, która może obniżyć wycenę lub skomplikować transakcję. Certyfikat ISO 27018 jest dowodem, że firma dojrzale zarządza jednym z kluczowych ryzyk w działalności chmurowej.

Jak zacząć – i dlaczego to prostsze niż się wydaje

Dla firm posiadających już certyfikat ISO 27001 droga do ISO 27018 jest znacznie krótsza niż mogłoby się wydawać. ISO 27018 jest oceniane jako rozszerzenie certyfikowalnego SZBI ISO 27001 – co oznacza, że infrastruktura systemowa, dokumentacja i procedury ISO 27001 są fundamentem, na którym system ISO 27018 buduje się stosunkowo sprawnie.

Dla firm, które ISO 27001 jeszcze nie mają – wdrożenie obu standardów równolegle jest efektywniejsze kosztowo niż realizowanie ich sekwencyjnie. Jedno wdrożenie, jeden projekt, dwa certyfikaty.