ISO/IEC 27017:2026 – nowe wytyczne dla usług chmurowych

ISO/IEC 27017:2026 – nowa era bezpieczeństwa usług chmurowych

ISO opublikowała nowe wydanie normy ISO/IEC 27017:2026 Information security, cybersecurity and privacy protection — Information security controls based on ISO/IEC 27002 for cloud services. To ważna aktualizacja dla organizacji, które wykorzystują usługi chmurowe, a także dla dostawców rozwiązań Cloud, ponieważ nowe wydanie dostosowuje podejście do bezpieczeństwa chmury do aktualnych wymagań i struktury ISO/IEC 27001:2022.

 

Nowa norma zastępuje pierwsze wydanie ISO/IEC 27017:2015, które przez ostatnią dekadę stanowiło jedno z kluczowych odniesień w zakresie bezpieczeństwa informacji w środowiskach chmurowych.

 

Dlaczego ISO/IEC 27017 jest tak ważna?

Transformacja cyfrowa sprawiła, że chmura stała się jednym z podstawowych elementów infrastruktury IT. Organizacje korzystają z usług SaaS, PaaS i IaaS, przenoszą do chmury dane biznesowe, systemy produkcyjne, aplikacje oraz procesy o znaczeniu krytycznym.

 

Jednocześnie model chmurowy zmienia sposób zarządzania bezpieczeństwem. Odpowiedzialność za ochronę informacji nie spoczywa wyłącznie na jednej organizacji. W zależności od modelu usługi część obowiązków realizuje dostawca chmury, a część klient. Właśnie dlatego potrzebne jest podejście uwzględniające specyfikę współdzielonej odpowiedzialności (shared responsibility).

 

ISO/IEC 27017 stanowi uzupełnienie podejścia określonego w ISO/IEC 27001 i koncentruje się na zabezpieczeniach związanych z dostarczaniem oraz korzystaniem z usług chmurowych. Nowe wydanie zapewnia dodatkowe wytyczne dla odpowiednich zabezpieczeń określonych w ISO/IEC 27001:2022 oraz dodatkowe zabezpieczenia i wskazówki odnoszące się bezpośrednio do usług chmurowych.

 

ISO/IEC 27017:2026 – co się zmieniło?

Najważniejszą zmianą jest dostosowanie wymagań standardu do normy ISO/IEC 27001:2022 oraz ISO/IEC 27002:2022.

 

Poprzednia edycja ISO/IEC 27017:2015 była powiązana ze strukturą ISO/IEC 27001:2013 oraz ISO/IEC 27002:2013. Tymczasem w 2022 roku opublikowano nowe wydanie tych dwóch norm, które wprowadziły m.in. nową strukturę zabezpieczeń, a także cztery atrybuty umożliwiające ich klasyfikację.

 

Nowa ISO/IEC 27017:2026 została więc zaprojektowana jako dokument uzupełniający i wspierający stosowanie aktualnego podejścia do zabezpieczeń informacji. To szczególnie istotne dla organizacji, które już posiadają lub rozwijają system zarządzania bezpieczeństwem informacji zgodny z ISO/IEC 27001:2022.

 

Jeden standard, dwie perspektywy: dostawca i klient chmury

Jednym z istotnych elementów ISO/IEC 27017:2026 jest uwzględnienie dwóch stron relacji chmurowej:

  • Cloud Service Provider (CSP) – dostawcy usług chmurowych,
  • Cloud Service Customer (CSC) – klientów korzystających z usług chmurowych.

Norma dostarcza wskazówek dla obu grup, co ma znaczenie szczególnie w kontekście podziału odpowiedzialności za bezpieczeństwo.

 

W praktyce oznacza to, że standard może być wykorzystywany zarówno przez organizację dostarczającą usługę chmurową, jak i przez przedsiębiorstwo, które korzysta z infrastruktury lub aplikacji dostawcy zewnętrznego.

 

Dla klienta chmury istotne będzie m.in. określenie, za które zabezpieczenia odpowiada on sam, a które pozostają po stronie dostawcy. Dla dostawcy natomiast ważne jest jasne określenie zakresu odpowiedzialności oraz zapewnienie klientowi odpowiednich informacji i mechanizmów umożliwiających bezpieczne korzystanie z usługi.

 

Norma ISO/IEC 27017 obejmuje również chmurę prywatną

Warto zwrócić uwagę na jeszcze jeden aspekt. ISO/IEC 27017:2026 nie ogranicza się wyłącznie do publicznych usług chmurowych. ISO wskazuje, że dokument ma zastosowanie do wszystkich rodzajów modeli wdrożenia chmury, w tym chmury prywatnej. W przypadku chmury prywatnej niektóre zabezpieczenia i wytyczne mogą wymagać dostosowania do relacji oraz możliwości wewnętrznych jednostek organizacji. Dzięki temu standard może być wykorzystany w organizacjach posiadających bardzo różne modele architektury i świadczenia usług IT.

 

ISO/IEC 27017:2026 a ISO/IEC 27001:2022

Warto podkreślić, że ISO/IEC 27017 nie zastępuje ISO/IEC 27001. Oba standardy pełnią różne funkcje. ISO/IEC 27001 określa wymagania dotyczące systemu zarządzania bezpieczeństwem informacji (ISMS), natomiast ISO/IEC 27017 koncentruje się na zabezpieczeniach i wytycznych odnoszących się konkretnie do usług chmurowych. Można więc traktować je jako elementy wzajemnie się uzupełniające.

 

Organizacja posiadająca system zarządzania bezpieczeństwem informacji zgodny z ISO/IEC 27001:2022 może wykorzystać ISO/IEC 27017:2026 jako dodatkowe źródło wytycznych do oceny i doskonalenia zabezpieczeń związanych ze środowiskiem chmurowym.

 

Co nowa norma oznacza dla organizacji?

Publikacja ISO/IEC 27017:2026 to dobry moment, aby organizacje korzystające z chmury zadały sobie kilka podstawowych pytań:

  • Czy znamy wszystkie usługi chmurowe wykorzystywane w organizacji?
  • Czy odpowiedzialność za bezpieczeństwo została jasno podzielona pomiędzy organizację i dostawców usług?
  • Czy wymagania bezpieczeństwa są odpowiednio uwzględnione w umowach i SLA z dostawcami?
  • Czy przeprowadzamy ocenę ryzyka związanego z usługami chmurowymi?
  • Czy nasze zabezpieczenia są zgodne z aktualnym podejściem ISO/IEC 27001:2022?
  • Czy proces zarządzania dostawcami obejmuje również bezpieczeństwo informacji w chmurze?

To właśnie takie pytania mogą stać się punktem wyjścia do przeglądu istniejącego systemu bezpieczeństwa informacji.

 

Co nowa wersja ISO/IEC 27017 oznacza dla dostawców usług chmurowych?

Dla dostawców usług Cloud aktualizacja może być szczególnie istotna. Rosnące wykorzystanie chmury oznacza również większe wymagania klientów dotyczące bezpieczeństwa, odporności, przejrzystości oraz zarządzania ryzykiem.

 

ISO/IEC 27017:2026 może pomóc dostawcom uporządkować podejście do zabezpieczeń specyficznych dla usług chmurowych oraz lepiej komunikować klientom zakres odpowiedzialności za bezpieczeństwo.

 

Ma to znaczenie również w procesach zakupowych i przetargowych, w których coraz częściej pojawiają się szczegółowe wymagania dotyczące bezpieczeństwa dostawców usług IT i Cloud.

 

Czy organizacje powinny już działać?

Tak, ale przede wszystkim warto rozpocząć od analizy wpływu nowego wydania normy ISO/IEC 27017 na istniejący system zarządzania bezpieczeństwem informacji.

 

Nie należy automatycznie zakładać, że aktualizacja normy oznacza konieczność tworzenia całego systemu od początku. Znacznie bardziej racjonalnym podejściem będzie przeprowadzenie analizy luk pomiędzy dotychczasowym podejściem a wymaganiami i wytycznymi wynikającymi z nowej wersji normy.

 

W szczególności warto przeanalizować:

  • wykorzystywane usługi chmurowe i modele ich wdrożenia,
  • zakres odpowiedzialności organizacji i dostawców,
  • ocenę ryzyka dla środowisk chmurowych,
  • umowy, SLA i wymagania bezpieczeństwa wobec dostawców,
  • procesy zarządzania dostępem,
  • ochronę danych w środowiskach Cloud,
  • monitoring i reagowanie na incydenty,
  • ciągłość działania i odporność usług,
  • procesy związane z zakończeniem korzystania z usługi i usuwaniem danych,
  • zgodność istniejących zabezpieczeń z ISO/IEC 27001:2022 i ISO/IEC 27002:2022.

 

Nowa norma ISO/IEC 27017 - nowe spojrzenie na bezpieczeństwo chmury

ISO/IEC 27017:2026 to kolejny krok w kierunku dostosowania standardów bezpieczeństwa informacji do rzeczywistości, w której infrastruktura, dane i aplikacje coraz częściej funkcjonują poza tradycyjnym centrum danych organizacji.

 

Nowa edycja nie jest więc jedynie aktualizacją numeru normy. To przede wszystkim sygnał, że bezpieczeństwo usług chmurowych wymaga podejścia uwzględniającego specyfikę współczesnych modeli Cloud, podział odpowiedzialności oraz aktualne mechanizmy zarządzania bezpieczeństwem informacji.

 

Dla organizacji korzystających z chmury jest to dobry moment na przegląd istniejących zabezpieczeń i relacji z dostawcami.

 

Dla dostawców usług chmurowych - okazja do uporządkowania i dalszego doskonalenia mechanizmów bezpieczeństwa.

 

A dla wszystkich organizacji, które budują dojrzały system zarządzania bezpieczeństwem informacji – ISO/IEC 27017:2026 może stać się ważnym elementem strategii bezpieczeństwa środowisk chmurowych.

 

Warto więc już dziś sprawdzić, czy nasze podejście do bezpieczeństwa chmury jest gotowe na standard ISO/IEC 27017:2026.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.