ISO IEC 27017-2015 PDF

Полное наименование и описание

ISO/IEC 27017:2015 — Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services. Кодекс практики, содержащий рекомендации по реализации мер информационной безопасности специально для облачных сервисов, с рекомендациями как для поставщиков облачных услуг, так и для их клиентов.

Аннотация

Стандарт расширяет общие рекомендации ISO/IEC 27002, давая облако-специфичные реализации и добавочные контрольные мероприятия. Он описывает распределение ролей и обязанностей между поставщиком и заказчиком облачных услуг, вопросы удаления и возврата активов по окончании обслуживания, изоляции виртуальных сред, конфигурации виртуальных машин, операций администрирования и мониторинга, а также выравнивания мер защиты в виртуальных и физических сетях.

Общая информация

• Статус: Публикация / Международный стандарт.
• Дата публикации: декабрь 2015 г.
• Организация-издатель: ISO и IEC (разработан техническим комитетом ISO/IEC JTC 1/SC 27).
• ICS / категории: 35.030 (IT Security); в некоторых описаниях также фигурирует 03.100.70 (системы менеджмента).
• Редакция / версия: Издание 1 (2015).
• Количество страниц: по данным издателя (ISO) — 30 страниц; в некоторых предложениях на продажу приводится 44 страницы (зависит от формата публикации).

Область применения

Предназначен для организаций, использующих или предоставляющих облачные сервисы; служит руководством по выбору и внедрению мер информационной безопасности в облачных средах, дополняя ISO/IEC 27002. Охватывает реализацию ряда контрольных мероприятий ISO/IEC 27002 применительно к облаку и вводит дополнительные облако-специфичные контроли (включая вопросы разделения обязанностей, возврата активов, защиты виртуальных сред и т.д.).

Ключевые темы и требования

• Распределение ролей и ответственности между облачным провайдером и клиентом.
• Требования к удалению или возврату активов клиента по окончании контракта.
• Изоляция и защита виртуальных сред (мультитенантность, сегрегация).
• Настройка и «закалка» виртуальных машин и образов.
• Операционные процедуры и административные практики в облачной среде.
• Возможности мониторинга и прозрачности для облачных клиентов.
• Выравнивание мер безопасности между виртуальными и физическими сетями.
• Совместимость с пунктами ISO/IEC 27002: выбор и внедрение соответствующих контролей.

Применение и пользователи

Основные пользователи стандарта — поставщики облачных услуг (CSP) и клиенты облачных услуг (CSC), а также организации, строящие системы управления информационной безопасностью, интеграторы, аудиторские и комплаенс-подразделения, юридические службы и руководители ИТ, которым требуется учитывать облако-специфичные риски и распределение ответственности.

Связанные стандарты

ISO/IEC 27017 тесно связан с ISO/IEC 27002 (руководство по контролям), ISO/IEC 27001 (системы менеджмента информационной безопасности) и общей серией ISO/IEC 27000. Кроме того документ имеет двойную нумерацию в рамках ITU-T как X.1631 (идентичное содержание в рамках сотрудничества).

Ключевые слова

информационная безопасность, облачные сервисы, кодекс практики, ISO/IEC 27002, поставщик облака, клиент облака, виртуальная среда, мульти‑тенантность, контрольные мероприятия, управление рисками.

FAQ

В: Что это за стандарт?

О: Кодекс практики, дающий облачно-специфичные рекомендации по реализации мер информационной безопасности на основе ISO/IEC 27002; ориентирован и на поставщиков, и на пользователей облачных услуг.

В: Что он регулирует?

О: Не «регулирует» в правовом смысле — это руководство по контролям: распределение обязанностей, удаление/возврат активов, изоляция виртуальных сред, настройка VM, администрирование, мониторинг и выравнивание сетевых мер безопасности и т.п.

В: Кто обычно использует?

О: Поставщики облачных услуг, заказчики облачных сервисов, организации, внедряющие систему управления информационной безопасностью, аудиторы и команды соответствия.

В: Он актуален или заменён?

О: Исходная версия 2015 г. остаётся опубликованной, но работа над вторым изданием (FDIS/Revision) шла в качестве замены/обновления стандарта; процесс пересмотра и публикации следующей редакции выполняется техническими комитетами. Рекомендуется проверять текущий статус публикации при подготовке к сертификации или внедрению.

В: Это часть серии?

О: Да — это часть семейства стандартов ISO/IEC 27000 (серия ISO 27000), служит дополнением к ISO/IEC 27002 и связана с ISO/IEC 27001.

В: Какие ключевые слова?

О: облачная безопасность, ISO 27017, кодекс практики, контрольные мероприятия, поставщик/клиент облака, мульти‑тенантность, виртуальная машина, мониторинг, возврат активов.