ISO IEC 27036-4-2016 PDF

Полное наименование и описание

Стандарт ISO/IEC 27036-4:2016 — Information technology — Security techniques — Information security for supplier relationships — Part 4: Guidelines for security of cloud services. Предоставляет рекомендации для заказчиков и поставщиков облачных услуг по выявлению, оценке и управлению рисками информационной безопасности, связанными с использованием облачных сервисов, а также по реагированию на риски, специфичные для приобретения или предоставления облачных услуг.

Аннотация

Документ содержит практические руководящие указания по управлению информационной безопасностью в отношениях «клиент — поставщик» при использовании облачных сервисов. Стандарт не охватывает вопросы обеспечения непрерывности бизнеса/восстановления после сбоев в контексте облака (см. ISO/IEC 27031) и не заменяет детальные требования по реализации мер безопасности у поставщика — для этого применимы ISO/IEC 27002 и ISO/IEC 27017.

Общая информация

• Статус: опубликован и подтверждён (Confirmed).
• Дата публикации: октябрь 2016 (Edition 1, 2016).
• Организация-издатель: Международная организация по стандартизации совместно с МЭК (ISO/IEC), разработка в рамках ISO/IEC JTC 1/SC 27.
• ICS / категории: 35.030 (IT‑безопасность).
• Редакция / версия: Edition 1 (2016).
• Количество страниц: 21 страницы по официальному описанию ISO; в национальных переизданиях/адаптациях иногда указывают другое количество страниц (напр., национальные публикации показывают 30–32 стр.).

Область применения

Руководство предназначено для организаций, использующих или предоставляющих облачные услуги, и ориентировано на обеспечение видимости и управления рисками информационной безопасности, возникающими при облачной доставке сервисов. Может применяться при оценке поставщиков облачных услуг, формировании требований к контрактам и построении процессов взаимодействия в цепочке поставок ИТ‑услуг.

Ключевые темы и требования

• Понимание характеристик облачных моделей (IaaS, PaaS, SaaS) и связанных с ними угроз и уязвимостей.
• Определение ролей и обязанностей заказчика и поставщика в области безопасности облачных услуг.
• Требования к управлению рисками при выборе и интеграции облачных сервисов (оценка рисков, меры снижения, мониторинг).
• Рекомендации по формированию требований в контрактах и соглашениях об уровне сервисов (SLA) с учётом информационной безопасности.
• Указания по контролю доступа, защите данных, классификации информации и обработке инцидентов в контексте облачных сервисов.
• Рекомендации по верификации и аудиту поставщиков облачных услуг, обеспечению прозрачности и отчетности по безопасности.

Применение и пользователи

Основные пользователи стандарта — специалисты по информационной безопасности, менеджеры по взаимоотношениям с поставщиками, аудиторы, юридические отделы при подготовке договоров на облачные услуги, а также поставщики облачных сервисов, стремящиеся улучшить управление рисками и повысить доверие клиентов. Стандарт полезен при внедрении процедур оценки поставщиков, формировании требований к безопасности в тендерах и при проведении аудитов облачных решений.

Связанные стандарты

ISO/IEC 27036-4 является частью серии ISO/IEC 27036 (информационная безопасность для взаимоотношений с поставщиками). Для практической реализации и детализации мер в облаке рекомендуется использовать в комбинации с ISO/IEC 27002 (руководство по мерам безопасности), ISO/IEC 27017 (практические руководства по безопасности облачных сервисов) и ISO/IEC 27018 (защита персональных данных в облаке). Также релевантны ISO/IEC 27001 (СУИБ) и ISO/IEC 27031 (непрерывность бизнеса).

Ключевые слова

информационная безопасность, облачные сервисы, поставщики, управление рисками, соглашения об уровне сервиса, аудит поставщиков, конфиденциальность, защита данных, ISO/IEC 27036, ISO/IEC 27017, ISO/IEC 27002.

FAQ

В: Что это за стандарт?

О: Руководящий международный стандарт, дающий рекомендации по информационной безопасности в отношениях заказчик–поставщик при использовании облачных сервисов (ISO/IEC 27036‑4:2016).

В: Что он регулирует?

О: Не нормативно‑обязывающие рекомендации по идентификации и управлению информационной безопасностью и связанными рисками при приобретении или предоставлении облачных услуг — включая требования к контрактам, оценке поставщиков и контролю мер безопасности.

В: Кто обычно использует?

О: Специалисты по информационной безопасности, менеджеры по закупкам и взаимоотношениям с поставщиками, аудиторы, юридические службы и поставщики облачных услуг.

В: Он актуален или заменён?

О: По состоянию публикации документ является изданным стандартом 2016 года и в ряде национальных органов подтверждён/принят. Рекомендуется проверять актуальность на страницах национальных органов стандартизации или у издателей, поскольку стандарты подвергаются периодическому пересмотру/подтверждению.

В: Это часть серии?

О: Да — часть серии ISO/IEC 27036 (информационная безопасность для взаимоотношений с поставщиками). Часть 4 специально посвящена безопасности облачных сервисов; другие части серии рассматривают общие принципы и конкретные аспекты взаимодействий с поставщиками.

В: Какие ключевые слова?

О: облачные сервисы, безопасность поставщиков, управление рисками, SLA, аудит поставщиков, защита данных, соответствие требованиям.