ISO/IEC 27017 – kontrole informacijske varnosti za oblak
Standard s kontrolami in smernicami za oblačne storitve, ki dopolnjuje ISO/IEC 27002.
Katero težavo rešujemo
Odgovornosti med ponudnikom oblaka in uporabnikom niso jasno razdeljene, pogodbe ne pokrivajo vsega, naročniki pa zahtevajo dokaz o varnosti oblačne storitve.
Zakaj je to pomembno
Standard ni samostojen sistem upravljanja, ampak nabor kontrol in smernic. Uporablja se skupaj z ISO/IEC 27001 in 27002, na primer za porazdelitev vlog, ločevanje okolij in nadzor nad nedovoljeno uporabo oblaka.
Za koga je
- Ponudniki oblačnih storitev (SaaS, PaaS, IaaS), ki jih naročniki presojajo.
- Organizacije, ki kritične procese prenašajo v oblak in želijo urediti odgovornosti.
- Organizacije z ISO/IEC 27001, ki želijo dodati kontrole za oblak v izjavo o uporabnosti.
Kaj obsega delo
- Razdelitev odgovornosti med ponudnikom in uporabnikom oblaka.
- Dodatne kontrole za oblak, na primer ločevanje virtualnih okolij in odkrivanje nedovoljene uporabe oblaka.
- Vrnitev ali odstranitev sredstev ob prenehanju storitve.
- Nadzor dostopa, beleženje in spremljanje v oblaku.
- Povezava z izjavo o uporabnosti in registrom tveganj po ISO/IEC 27001.
Potek dela
Opredelitev vloge organizacije (ponudnik ali uporabnik) in obsega storitev.
Pregled kontrol standarda glede na obstoječe stanje.
Dopolnitev ocene tveganj in izjave o uporabnosti.
Pregled pogodb in dokumentacije ponudnikov.
Priprava dokazil in notranji pregled.
Kaj potrebujemo od vas
- Seznam oblačnih storitev in vlog (ponudnik, uporabnik ali oboje).
- Pogodbe in pogoji uporabe z ponudniki oblaka.
- Obstoječa izjava o uporabnosti in register tveganj.
Kaj prejmete
- Matrika odgovornosti za oblačne storitve.
- GAP analiza kontrol za oblak.
- Predlog dopolnitve izjave o uporabnosti in dokumentacije.
Kaj ni vključeno in kje so meje
- Tehnična konfiguracija oblaka in testiranje ranljivosti.
- Neodvisna potrditev varnosti ponudnika oblaka.
- Certifikacija: zunanja potrditev je mogoča le v okviru presoje ISO/IEC 27001, če jo certifikacijski organ razširi na ta standard.
Standard je nabor kontrol in smernic, ne zahtev za certifikabilni sistem upravljanja. Plačljivega besedila standarda ne povzemamo in ne ponatiskujemo. Za zahteve v celoti uporabite uradno izdajo standarda.
Pogosta vprašanja
Je ISO/IEC 27017 samostojen certifikat?
Standard vsebuje kontrole in smernice, ne zahtev za sistem upravljanja. Zunanja potrditev je običajno povezana s certifikacijo ISO/IEC 27001, pri kateri certifikacijski organ upošteva dodatne kontrole. Pogoje določi izbrani certifikacijski organ.
Katera izdaja velja?
Po javno dostopnih podatkih je druga izdaja objavljena leta 2026 in nadomešča izdajo iz leta 2015. Pred uporabo preverite veljavno izdajo in prehodna pravila pri ISO ali certifikacijskem organu.
Ali standard velja za uporabnike ali ponudnike oblaka?
Za oboje. Nekatere kontrole so namenjene ponudniku, druge uporabniku, nekatere obema. Zato je prvi korak vedno ugotovitev vloge.
Uradni viri
Potrebujete svetovalni pregled ali pomoč pri pripravi na skladnost?
Opišite organizacijo in izziv. Predlagamo smiseln obseg dela, brez obvezujočih obljub o rezultatu.