ISO/IEC 27017 prinaša smernice za varnostne kontrole v oblaku, ISO/IEC 27018 za varstvo osebnih podatkov v javnem oblaku. Varnost preverite z razdelitvijo odgovornosti med ponudnikom in uporabnikom, nadzorom dostopov, šifriranjem, lokacijo podatkov, dnevniki in izhodno strategijo.
Kaj ureja posamezen standard
| ISO/IEC 27017 | ISO/IEC 27018 | |
|---|---|---|
| Predmet | informacijska varnost oblačnih storitev | varstvo osebnih podatkov (PII) v javnem oblaku |
| Za koga | ponudnike in uporabnike oblaka | ponudnike javnega oblaka kot obdelovalce osebnih podatkov |
| Osnova | dopolnjuje ISO/IEC 27002 | dopolnjuje ISO/IEC 27002 |
| Poudarek | razdelitev odgovornosti, ločevanje okolij, nadzor sredstev | namen obdelave, preglednost, razkritja, izbris podatkov |
Obe sta smernici, ne pravna akta. Uporaba 27018 ne nadomešča GDPR.
Kontrolni seznam za uporabnika oblaka
- Odgovornost. Je jasno, kaj varuje ponudnik in kaj vi (podatki, identitete, konfiguracija)?
- Dostopi. Večfaktorska prijava, upravljanje privilegiranih računov, pregled pravic.
- Šifriranje. Pri prenosu in mirovanju; kdo upravlja ključe?
- Lokacija podatkov. Kje so podatki shranjeni in kdo ima dostop (podizvajalci)?
- Dnevniki. Ali so na voljo dnevniki dejavnosti in kako dolgo se hranijo?
- Incidenti. Rok in način obveščanja o incidentih.
- Neprekinjenost. Zagotovljeni čas razpoložljivosti, kopije, obnova.
- Izhod iz pogodbe. Vračilo in varen izbris podatkov, prenosljivost.
- Dokazi ponudnika. Neodvisna poročila in certifikati; preverite obseg, ne le obstoj.
- Osebni podatki. Pogodba o obdelavi, seznam podobdelovalcev, pravice posameznikov.
Za ponudnika oblačnih storitev
Ponudnik naj kupcem jasno opiše razdelitev odgovornosti, zagotovi ločevanje okolij različnih naročnikov, omogoči vpogled v dnevnike, določi postopek izbrisa podatkov in obvešča o podizvajalcih.
Kako to vključiti v presojo
Kontrole oblaka vključite v izjavo o uporabnosti ISO 27001 in jih preverite ob notranji presoji. Pri preverjanju ponudnika logotip certifikata ne zadošča; preverite obseg, datum veljavnosti in izdajatelja.
Standardi so se nedavno revidirali, zato pred uporabo preverite veljavno izdajo.
Pogoste napake
- uporabnik predpostavlja, da ponudnik skrbi za vse,
- konfiguracija oblaka ni pregledana (javno dostopni vsebniki, preširoke pravice),
- ni izhodne strategije in izbrisa podatkov,
- pogodba o obdelavi osebnih podatkov ne ustreza dejanski uporabi.
Več: ISO/IEC 27017, ISO/IEC 27018 in ISO/IEC 27001.
Pogosta vprašanja
Ali sta 27017 in 27018 samostojna sistema?
Ne v enakem smislu kot ISO 27001. Gre za smernice in dodatne kontrole, ki se uporabljajo skupaj z ISO 27001 in 27002. Možnosti certifikacije preverite pri certifikacijskem organu.
Kaj naj preverimo pri ponudniku oblaka?
Poročila neodvisnih presoj, razdelitev odgovornosti, lokacijo podatkov, obravnavo incidentov, šifriranje, postopke vračila in izbrisa podatkov ter pogodbo o obdelavi osebnih podatkov.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja. Obveznosti so odvisne od položaja posamezne organizacije.