Вашата оценка 5.00 от 2 гласа
ISO/IEC 27017:2015 Информационни технологии. Методи за сигурност. Кодекс за добра практика за управление на сигурността на информацията, базиран на ISO/IEC 27002, за услуги в облак
ISO/IEC 27017
С увеличаващата се зависимост на бизнеса от облачните технологии, защитата на данните се превръща в критично важен приоритет за всяка организация. Облачните услуги предлагат значителни предимства, но също така носят и рискове, свързани с опазването на чувствителна информация. За да отговори на тези рискове и да осигури сигурност в облачната среда, Международната организация по стандартизация (ISO) и Международната електротехническа комисия (IEC) създадоха стандарт ISO/IEC 27017:2015 "Кодекс за добра практика за управление на сигурността на информацията, базиран на ISO/IEC 27002, за услуги в облак".
Какво представлява ISO/IEC 27017:2015?
ISO/IEC 27017 е международен стандарт, създаден от Международната организация по стандартизация (ISO) и Международната електротехническа комисия (IEC), който предоставя специфични насоки за управление на информационната сигурност в облачна среда. Той е част от семейството ISO/IEC 27000 и разширява ISO/IEC 27002, като въвежда допълнителни контроли и указания, насочени конкретно към облачните технологии.
Основната цел на стандарта е да подпомогне както доставчиците на облачни услуги, така и техните клиенти да изградят сигурна, доверена и добре управлявана среда за обмен на данни и услуги в облака.
Важно е да се отбележи, че ISO/IEC 27017 не е сертификационен стандарт. Това означава, че организациите не могат да получат самостоятелна сертификация само по този стандарт. Въпреки това той играе ключова роля като допълнение към ISO/IEC 27001. Прилагането на ISO/IEC 27017 в рамките на една интегрирана система с ISO/IEC 27001 значително засилва нивото на сигурност в облачна среда.
Защо е важен ISO/IEC 27017?
С развитието на облачните технологии и широкото им приложение в бизнеса, важността на подходящото управление на информационната сигурност в облачната среда никога не е била по-голяма. Облачните платформи често включват споделени ресурси и виртуализирани среди, което създава нови рискове и заплахи за сигурността. ISO/IEC 27017 предлага конкретни мерки за контролиране и минимизиране на тези рискове, като същевременно гарантира, че организациите могат да отговорят на изискванията за съответствие с международни регулации за защита на личните данни като GDPR.
Ключови характеристики на ISO/IEC 27017
ISO/IEC 27017 е специализиран стандарт, който предоставя насоки и контролни механизми за управление на сигурността в облачни среди. Основните му характеристики включват:
- Допълнителни контроли и насоки за облачните услуги Стандартът разширява и допълва контролните механизми от ISO/IEC 27002, като включва конкретни насоки и адаптации, специфични за облачните технологии. Тези насоки обхващат управление на криптографски ключове, мониторинг на активността в облака, както и защита на данни, съхранявани в облачната среда.
- Ясно дефиниране на роли и отговорности За да се избегнат неясности в управлението на сигурността, стандартът подчертава необходимостта от ясно разпределение на задълженията между доставчика на облачни услуги и клиента. Това включва определяне на отговорностите за защита на данни, конфигуриране на системи и осигуряване на достъп до облачните ресурси.
- Насоки за управление на виртуални машини и мрежови настройки Тъй като облачните услуги често използват виртуализация, стандартът предоставя насоки за безопасно управление на виртуални машини, както и за защита на мрежовата инфраструктура от неоторизиран достъп или атаки.
- Управление на достъп и привилегии Контролът върху достъпа и привилегиите е от критично значение за сигурността в облачната среда. ISO/IEC 27017 осигурява механизми за управление на правата на потребителите, като изисква многофакторна автентикация и мониторинг на действията в облака.
- Сигурност при изтриване на данни Стандартът съдържа препоръки за сигурно изтриване на данни от облачните платформи, като изисква прилагане на проверими и защитени методи за заличаване на чувствителна информация при прекратяване на договорни отношения или преместване на данни.
- Изготвяне на договори и SLA с акцент върху сигурността За да се гарантира защита на данните и предотвратяване на бъдещи проблеми, стандартът настоява за включване на ясни условия за сигурност в договори и споразумения за ниво на услугата (SLA). Това включва дефиниране на отговорностите на двете страни и конкретни изисквания за безопасност.
За кого е подходящ стандартът?
ISO/IEC 27017 е приложим както за доставчици на облачни услуги, така и за техните клиенти. Той е особено полезен за:
- Доставчици на облачни услуги – SaaS, PaaS, IaaS;
- Компании, използващи облачни платформи за съхранение и обработка на чувствителна информация;
- ИТ екипи, управляващи миграция към облака;
- Консултанти по информационна сигурност и одит.
Ползи от прилагането на ISO/IEC 27017
- Повишена сигурност – подпомага идентифицирането и управлението на рискове, специфични за облачната среда.
- Засилено доверие – клиентите и партньорите получават уверение, че техните данни са защитени.
- Яснота в отговорностите – насърчава ефективно сътрудничество между доставчици и клиенти.
- По-прозрачни договорни отношения – създава основа за ясно формулирани условия в SLA и други споразумения.
ISO/IEC 27017 и други стандарти
ISO/IEC 27017 е съобразен с хармонизираната структура на стандартите за системи за управление (Приложение SL) и е разработен така, че да допълва други ключови стандарти за информационна сигурност, включително:
- ISO/IEC 27001 – основният стандарт за изграждане на системи за управление на информационната сигурност (ISMS). Той определя изискванията за внедряване, поддържане и непрекъснато подобряване на ISMS.
- ISO/IEC 27002 – предоставя набор от добри практики и контролни механизми за информационна сигурност. ISO/IEC 27017 надгражда и адаптира част от тях за специфичния контекст на облачните среди.
- ISO/IEC 27018 – допълва ISO/IEC 27017, като поставя акцент върху защитата на лични данни (PII) в публичния облак и предлага допълнителни мерки за съответствие с регулации като GDРR.
Искате да научите повече?
Ако обмисляте миграция към облака или вече използвате такива услуги и се интересувате как ISO/IEC 27017 може да повиши сигурността и доверието във вашата организация – свържете се с нас. Ще ви помогнем да преминете към облака по-сигурно, по-прозрачно и с висока степен на отговорност.
ISO/IEC 27017:2015 Информационни технологии. Методи за сигурност. Кодекс за добра практика за управление на сигурността на информацията, базиран на ISO/IEC 27002, за услуги в облак
ЕТИКЕТИ
Новини
12
10.26
Стандартите на НАТО за качество във фокуса на инвестициите в отбранителната индустрия
Изискванията на НАТО за осигуряване на качеството имат практическо значение за б...
25
09.26
Европейски месец на киберсигурността 2026: човешкият фактор във фокуса на киберсигурността
Днес в Съда на Европейския съюз в Люксембург се провежда официалното откриващо с...
Полезно
06
11.26
AQAP-2110: отвъд изискванията на ISO 9001
Какво допълнително се изисква от доставчиците в отбранителната индустрия?
...
20
10.26
Управление на промените в хранителния сектор: кога е необходима нова оценка на риска?
Смяната на доставчик може да изглежда като обичайно търговско решение, а удължав...
Внедряване на управленски стандарти
КОНСЕХО ЕООД (CONSEJO) е консултантска компания с над 20 години практически опит в разработването, внедряването и поддържането на системи за управление в съответствие с международни стандарти и регулаторни изисквания. Компанията предоставя консултантски услуги в областта на качеството, околната среда, здравето и безопасността при работа, безопасността на храните, информационната сигурност, киберсигурността, управлението на риска и устойчивото развитие. Експертизата ни обхваща стандарти и схеми като ISO 9001, ISO 14001, ISO 45001, ISO 22000, ISO/IEC 27001, IFS Food, BRCGS и HACCP, както и консултации във връзка с NIS2, DORA, GDPR и EcoVadis.
Екипът на КОНСЕХО е участвал в реализирането на над 1500 проекта за организации от различни сектори на икономиката, включително производство, строителство, енергетика, информационни технологии, транспорт, търговия, хранително-вкусова промишленост и услуги. В основата на нашия подход е изграждането на реално работещи системи за управление, съобразени със спецификата и потребностите на всяка организация. Работим в тясно сътрудничество с клиентите си, като осигуряваме консултантска подкрепа, обучение на персонала и съдействие при внедряването. Стремим се да предоставяме качествени услуги в договорените срокове и решения, които подпомагат успешното сертифициране и създават дългосрочна стойност за бизнеса.
Партньори
