ISO/IEC 27017: Cloud-Sicherheit in Ergänzung zur ISO/IEC 27002

Die ISO/IEC 27017 ist eine Norm, die Richtlinien und Sicherheitsmaßnahmen für Cloud-Dienste spezifiziert. Sie ergänzt die ISO/IEC 27002, eine Sammlung von Informationssicherheitsmaßnahmen, die Organisationen bei der Entwicklung ihres Informationssicherheitsmanagementsystems (ISMS) unterstützen sollen. Während die ISO/IEC 27002 ein breites Spektrum an Informationssicherheitskontrollen und Best Practices für Organisationen definiert, konzentriert sich die ISO/IEC 27017 auf die zusätzlichen spezifischen Anforderungen an die Sicherheit von Cloud-Services. Diese Erweiterung ist besonders relevant für Anbieter von Cloud-Diensten und deren Kunden. Für den Schutz personenbezogener Daten in der Cloud gibt es die ergänzende ISO/IEC 27018.

Zusätzliche Sicherheitsaspekte für Cloud-Dienste

Die ISO/IEC 27017 greift bestimmte Bereiche auf, die durch die wachsende Nutzung von Cloud Computing in Bezug auf Informationssicherheit zunehmend in den Fokus rücken. Sie thematisiert spezifische Herausforderungen und Risiken, die mit der Cloud verbunden sind. Zu diesen zusätzlichen Sicherheitsaspekten zählen unter anderem:

• Shared Responsibility Model: Die ISO/IEC 27017 legt einen starken Fokus auf das geteilte Verantwortungsmodell zwischen Cloud-Dienstanbietern und Cloud-Nutzern. Sie definiert klar die Sicherheitsverantwortlichkeiten, um Missverständnisse zu vermeiden und Datenlecks vorzubeugen.

• Datenschutz und Datenverschlüsselung: Besondere Aufmerksamkeit widmet die Norm dem Schutz sensibler und personenbezogener Daten. Sie beinhaltet Richtlinien für die Verschlüsselung von Daten sowohl in der Übertragung als auch bei der Speicherung in der Cloud.

• Zugangs- und Identitätsmanagement: Im Vergleich zur ISO/IEC 27002 setzt die ISO/IEC 27017 verstärkt auf umfassende Regelungen zum Zugangs- und Identitätsmanagement, um den besonderen Sicherheitsherausforderungen in Cloud-Umgebungen gerecht zu werden.

• Betriebskontinuität und Notfallplanung: Angesichts der potenziellen Risiken, die mit Cloud-Diensten verbunden sind, beinhaltet die ISO/IEC 27017 spezifische Richtlinien zur Sicherstellung der Betriebskontinuität und Notfallplanung.

• Compliance und rechtliche Aspekte: Diese Norm führt spezielle Kontrollen zu Compliance und rechtlichen Aspekten ein, die für Cloud-Dienste notwendig sind. Sie hilft Organisationen dabei, nationale und internationale Rechtsvorschriften einzuhalten.

Nutzen

Durch die Berücksichtigung der spezifischen Sicherheitsaspekte der Cloud ergänzt die ISO/IEC 27017 die ISO/IEC 27002. Sie bietet Unternehmen, die Cloud-Dienste nutzen oder bereitstellen, praktische Leitlinien für das Sicherheitsmanagement.

Häufige Fragen zu ISO/IEC 27017

Was ist der Hauptunterschied zwischen ISO/IEC 27017 und ISO/IEC 27002?

ISO/IEC 27017 konzentriert sich speziell auf Sicherheitsaspekte für Cloud-Services, indem die Richtlinien aus ISO/IEC 27002 spezifisch für Cloud-Umgebungen erweitert und angepasst werden. Dabei geht es besonders um die Bewältigung von Sicherheitsrisiken, die mit Cloud Computing verbunden sind.

Wer sollte sich mit den Zusätzen der ISO/IEC 27017 im Vergleich zur ISO/IEC 27002 beschäftigen?

Jeder, der in die Verwaltung oder Sicherheit von Cloud-Diensten involviert ist, einschließlich IT-Sicherheitsbeauftragte, Cloud-Service-Anbieter und Cloud-Nutzerorganisationen, sollte die zusätzlichen Anforderungen und Kontrollen der ISO/IEC 27017 kennenlernen und umsetzen.

Welche spezifischen Sicherheitskontrollen behandelt die ISO/IEC 27017 zusätzlich zu den allgemeinen Vorgaben der ISO/IEC 27002?

Die ISO/IEC 27017 fügt spezifische Kontrollen für die geteilte Verantwortung zwischen Cloud-Service-Anbietern und Cloud-Nutzern, die Verwaltung von Cloud-Nutzer-Identitäten und -Berechtigungen, die Verschlüsselung von Daten in der Cloud sowie die erweiterte Überwachung und Berichterstattung in Cloud-Umgebungen hinzu.

Wie unterstützt die ISO/IEC 27017 Unternehmen beim Umgang mit Cloud-Sicherheit?

Die Norm liefert einen umfassenden Katalog an Best Practices und Steuerungsmaßnahmen speziell für die Nutzung von Cloud-Diensten. Sie hilft Unternehmen, Sicherheitslücken zu schließen, Konformität mit rechtlichen Anforderungen zu erreichen und die Vertraulichkeit, Integrität und Verfügbarkeit von in der Cloud gespeicherten Daten zu sichern.

Welche Rolle spielen die Zusatzkontrollen der ISO/IEC 27017 für die Compliance in Unternehmen?

Die Einhaltung der ISO/IEC 27017 kann Unternehmen dabei unterstützen, regulatorische Anforderungen speziell im Bereich Cloud-Computing zu erfüllen. Indem zusätzliche Kontrollen und Richtlinien implementiert werden, kann ein höheres Sicherheitsniveau erreicht und nachgewiesen werden, was die Einhaltung von Datenschutzvorschriften und Industriestandards erleichtert.

Inwiefern beeinflusst die ISO/IEC 27017 die Beziehung zwischen Cloud-Service-Anbietern und ihren Kunden?

Die ISO/IEC 27017 stellt klar definierte Sicherheitsanforderungen und -kontrollen bereit, die die Basis für ein transparentes und vertrauensvolles Verhältnis zwischen Cloud-Service-Anbietern und ihren Kunden schaffen. Sie definiert die Verantwortlichkeiten beider Parteien und fördert eine partnerschaftliche Zusammenarbeit zum Schutz von Cloud-Diensten.

Welche Vorteile bietet die Implementierung der ISO/IEC 27017 zusätzlich zur ISO/IEC 27002 für Unternehmen?

Die spezifische Ausrichtung der ISO/IEC 27017 auf Cloud-Sicherheit ermöglicht es Unternehmen, Risiken effektiver zu managen, Sicherheitslücken in der Cloud zu schließen und das Vertrauen ihrer Kunden durch nachweisliche Einhaltung anerkannter Sicherheitsstandards zu stärken.