Controles de seguridad en la nube ISO/IEC 27017

¿Cuál es el propósito de la norma ISO 27017?

ISO 27017 complementa la ISO / IEC 27002 marco para el entorno de computación en la nube al incluir información complementaria, medidas de seguridad y orientación de implementación. Este marco proporciona orientación para la implementación de 37 controles que se encuentran en ISO / IEC 27001, así como siete requisitos adicionales.

Nuevos controles en la nube que abordan el siguiente código de mejores prácticas:

• Quién es responsable de qué entre el proveedor de servicios en la nube y el cliente de la nube.
• La retirada/devolución de bienes cuando se rescinde un contrato.
• Protección y separación del entorno virtual del cliente.
• Configuración de máquinas virtuales.
• Administrativo operaciones y procedimientos asociado con el entorno de la nube, lo que permite a los clientes monitorear las actividades relevantes.
• Monitoreo de la actividad del cliente en la nube dentro de la nube.
• Alineación del entorno de red virtual y en la nube.
• Controles de seguridad de la información basados ​​en la norma ISO 27001 y el marco ISO 27017.

Al adoptar este código de práctica, los consumidores y proveedores de la nube ahora pueden cumplir con los requisitos básicos de seguridad de la información seleccionando controles relevantes y guías de implementación basadas en evaluaciones de riesgos para servicios en la nube.

Si trabaja para un proveedor de servicios en la nube o está considerando trasladar su empresa a la nube. Nuestra descripción general de ISO 27017 lo ayudará a comprender los componentes principales del marco, los nuevos controles y cómo este código de práctica beneficiará a su organización.

¿Por qué implementar ISO 27017?

Es fundamental que los clientes tengan confianza en la seguridad de sus datos en la nube. ISO/IEC 27017 es un marco reconocido mundialmente que, cuando se implemente, reducirá efectivamente la probabilidad de violaciones de datos y aumentará la confianza del cliente al demostrar su compromiso con las técnicas de seguridad de la información.

Como se señaló, el marco aborda varias cuestiones, incluida la propiedad de activos, la eliminación y devolución de activos después de la terminación del contrato de un cliente y la seguridad del entorno virtual de un cliente.

El marco define las operaciones administrativas para manejar un entorno de nube: requisitos para reforzar una máquina virtual según las necesidades comerciales.

Como proveedor de servicios en la nube o usuario de servicios en la nube, es vital demostrar que su organización está haciendo todo lo posible para minimizar los riesgos que plantean las violaciones de datos.

ISO 27017 se basa en el estándar ISO 27001 y el marco ISO 27002; la implementación demuestra que su organización ha implementado las mejores prácticas para proteger contra amenazas relacionadas con la nube tanto para los proveedores de servicios en la nube como para los clientes de servicios en la nube. Complementa pero no reemplaza los requisitos de ISO/IEC 27002.

¿Quién debería implementar la ISO 27017?

Si opera un servicio de almacenamiento en la nube y utiliza un SaaS o almacenamiento en la nube directamente en su empresa, la norma ISO 27017 es importante para garantizar que sigue las mejores prácticas.

ISO 27017 se está convirtiendo cada vez más en un requisito a considerar para proyectos gubernamentales y de gran escala específicos. Dado que estas organizaciones solo se asociarán con empresas que demuestren un compromiso sistemático con la mitigación de riesgos.

Cualquier requisito de seguridad de la información legal, contractual, regulatorio o de otro tipo específico de la nube afectará la selección de controles de seguridad de la información apropiados para la implementación del marco.

Esta certificación es imprescindible para cualquier empresa que utilice o desee proporcionar a sus clientes servicios seguros en la nube. Demuestra que han implementado controles de seguridad de la información ISO 27017.

Esta es una excelente manera para que cualquier empresa demuestre su compromiso con la protección de la información de los clientes. Al obtener la certificación, se diferenciará de la competencia y brindará tranquilidad a sus clientes. Estarás demostrando tu conocimiento y experiencia en este importante tema.

Inspira confianza en su organización

Proporciona una validación sólida a los clientes y socios sobre la seguridad de sus datos e información.

Asegura tu imagen de marca

Mitiga la posibilidad de atención negativa como resultado de violaciones de datos.

Protección contra multas

Demuestra estándares consistentes, lo que facilita la realización de negocios a nivel internacional y gana exposición como proveedor confiable.

Contribuye al crecimiento empresarial.

La comunicación es clave cuando se trata de procesos de Gobernanza de la Seguridad de la Información. Se le ha confiado la tarea de mantener segura su empresa y sus diversos activos, pero no puede ser un proceso aislado.

¿Con qué estándares se integra la ISO 27017?

ISO 27017 es compatible con otras normas ISO. Estos incluyen lo siguiente:

• ISO 27001: especificaciones para operar un sistema de gestión de seguridad de la información.
• ISO 27002: una lista de controles de seguridad básicos que una empresa puede emplear.
• ISO 27018: normas que cubren la protección de datos personales en la nube.

ISO 27017 es una expansión de ISO 27002 que incluye información adicional para los controles de seguridad de la información necesarios para proteger los datos en la nube. También agrega varios nuevos y mejora la aplicabilidad del estándar a la industria de la computación en la nube.

ISO 27017 proporciona directrices tanto para proveedores como para usuarios de servicios en la nube. Señala que debido a la forma en que opera la computación en la nube, una misma organización puede ser al mismo tiempo cliente y proveedor de servicios en la nube.

¿Cómo se integra ISO 27017 con ISO 27002?

ISO 27017 está estructurada de manera similar a ISO 27002, es decir, en forma de una lista de verificación de posibles controles de seguridad. Las organizaciones individuales necesitarán para determinar qué controles son aplicables a sus circunstancias, pueden variar según su posición como proveedores de servicios en la nube, clientes o ambos.

Las directrices de este Acuerdo Internacional Estándar proporciona soporte para el control de seguridad de la información. implementación tanto por parte de clientes como de proveedores de servicios en la nube. Es un marco excelente para cualquiera que ofrezca servicios en la nube a los clientes.

Los controles específicos son aplicables tanto a proveedores como a clientes, mientras que algunos tienen aplicaciones específicas.

La contribución más notable a ISO 27002 por parte de ISO 27017 es la aclaración sobre las copias de seguridad. Se afirma que:

• Los clientes de servicios en la nube deben especificar la funcionalidad de respaldo que necesitan del proveedor, verificar que el servicio ofrecido cumpla con sus requisitos y hacer sus propios arreglos si el servicio brindado es insuficiente; y
• Los proveedores de servicios en la nube deberían tener “acceso seguro y separado a las copias de seguridad” y especificar las capacidades de copia de seguridad.

ISO 27001, ISO 27017 o ISO 27018: ¿cuál elegir?

ISO 27001 es una norma fundamental ideal para cualquier empresa que busque asegurar sus datos. Actualmente es el estándar más utilizado a nivel mundial. Establece un sistema para mantener el cumplimiento de los controles de seguridad de la información y el único estándar contra el cual se puede obtener un certificado (válido).

El marco internacional ISO 27017 es sin duda relevante para las empresas que brindan servicios basados ​​en la nube y desean cubrir todas las bases para la seguridad de la computación en la nube.

ISO 27018 está más orientado a empresas que gestionan datos personales y quieren garantizar su protección adecuada.

Los proveedores de servicios en la nube pueden adoptar la norma ISO 27001 en combinación con la ISO 27017, mientras que la nube empresas con un alto volumen de datos personales Es casi seguro que implementará las tres: ISO 27001, ISO 27017 e ISO 27018.