ISO 27017

Резюме

ISO/IEC 27017 не е отделен сертификат, а разширение — набор от указания и допълнителни контроли към ISO/IEC 27002, адаптирани специално за облачна среда. Стандартът тръгва от простия, но често подценяван факт, че сигурността в облака никога не е отговорност само на едната страна. Доставчикът на облачни услуги отговаря за инфраструктурата, физическата защита на центровете за данни и в много случаи за хипервайзора; клиентът отговаря за конфигурацията на своите ресурси, управлението на достъпа, криптирането на данните и начина, по който използва предоставените услуги. Между тези две зони на отговорност съществува граница, която рядко е очертана достатъчно ясно в договорите за облачни услуги — и именно тази граница ISO 27017 прави видима и управляема.

За компании, които вече имат внедрена ISO 27001 система за управление на информационната сигурност, ISO 27017 добавя конкретика там, където общият стандарт остава на ниво принцип. За доставчици на облачни услуги — IaaS, PaaS или SaaS — стандартът е сигнал към клиентите, че разбират и изпълняват своята част от споделената отговорност. За организации, които разчитат сериозно на външни облачни доставчици, той е рамка за оценка доколко тази зависимост е овладяна, а не просто приета по подразбиране.

Бизнес ползи

Внедряването на ISO 27017 рядко е самоцел — то решава конкретни проблеми, които възникват именно защото облачната инфраструктура разпределя контрола между няколко страни. Ползите се усещат в няколко посоки едновременно.

• Яснота в договорните отношения с облачни доставчици и подизпълнители — кой носи отговорност при инцидент, кой конфигурира какво и кой доказва съответствие пред одитор или регулатор.
• По-ниска вероятност от пропуски, произтичащи от погрешно предположение, че „доставчикът се грижи за всичко" — типична причина за инциденти с публично достъпни хранилища с данни или незащитени административни интерфейси.
• По-силна позиция при преговори с корпоративни клиенти и партньори, които изискват доказателства за зрялост на сигурността преди да поверят данни или работни натоварвания на трета страна.
• Ясно разграничена административна изолация между собствения персонал на доставчика и средата на всеки отделен клиент — важно както за доставчици, така и за клиенти в мултинаемана среда.
• По-бърза и по-структурирана реакция при подготовка за одит, тъй като контролите вече са картографирани спрямо ролите на доставчик и клиент, а не разпръснати в общи политики.
• Основа за комбиниран сертификат ISO 27001 плюс ISO 27017 — а при нужда и ISO 27018 за лични данни в облак — което намалява дублирането на одиторски усилия и разходи във времето.

Обхват

Обхватът на внедряването зависи съществено от ролята на организацията спрямо облака — доставчик, клиент или и двете едновременно, когато например компания препродава или интегрира облачни услуги на трети страни в собствения си продукт. Работата по ISO 27017 покрива следните области.

• Картографиране на модела на споделена отговорност за конкретния тип услуга — IaaS, PaaS или SaaS — и за всеки конкретен доставчик, тъй като разпределението на задълженията варира съществено между тях.
• Преглед на конфигурацията на виртуални машини, контейнери и мрежови сегменти спрямо базови стандарти за втвърдяване (hardening), приложими към използваната платформа.
• Политики и технически контроли за управление на достъпа в облачна среда — многофакторна автентикация, привилегирован достъп, ролеви модели, автоматизирано отнемане на права при напускане или смяна на позиция.
• Изолация между наематели (tenant segregation) — гаранции, че ресурсите, данните и мрежовият трафик на един клиент не са достъпни за друг в споделена инфраструктура.
• Разделяне на административния достъп на персонала на доставчика от средата на клиента, включително журналиране и наблюдение на действията на администраторите.
• Процедури за връщане или сигурно изтриване на активи на клиента при прекратяване на договор — включително данни, конфигурации и резервни копия.
• Мониторинг на използването на облачните услуги и откриване на аномалии — както от страна на доставчика към собствената инфраструктура, така и от страна на клиента към собствените си ресурси в облака.
• Интеграция на всички горепосочени контроли в съществуващата ISMS документация по ISO 27001, вместо създаване на паралелна и несвързана система.

Методология

Подходът ни следва логиката, че ISO 27017 се изгражда върху съществуваща основа, а не в изолация — независимо дали тази основа вече е сертифицирана по ISO 27001, или се изгражда паралелно.

Фаза 1: Анализ на модела на споделена отговорност. Започваме с точно определяне на ролята на организацията — доставчик, клиент или и двете — и с детайлно картографиране кой контролира какво на всеки слой от инфраструктурата. На този етап преглеждаме и договорите с облачни доставчици или подизпълнители, за да установим къде документираната отговорност съвпада с реалната техническа реализация и къде има разминаване.

Фаза 2: Оценка на текущото състояние. Провеждаме технически преглед на конфигурацията на облачната среда — управление на достъпа, мрежова сегментация, изолация между наематели, журналиране и наблюдение. Резултатът е конкретен списък от пропуски спрямо изискванията на ISO 27017, приоритизиран по риск и по сложност на отстраняване.

Фаза 3: Проектиране на контроли и политики. Разработваме или адаптираме политики, процедури и технически контроли, специфични за облачната среда — от конфигурация на достъп до процедури за връщане на активи при прекратяване на договор. Където организацията вече има ISO 27001 система, новите елементи се вграждат в нея, а не се създават като отделен документален масив.

Фаза 4: Внедряване и обучение. Съпровождаме прилагането на техническите и организационните мерки в реална среда, включително конфигуриране на мониторинг и настройка на процеси за реакция при инциденти, специфични за облак. Провеждаме обучение на екипите, отговорни за администриране на облачната инфраструктура и за управление на достъпа.

Фаза 5: Вътрешен одит и подготовка за сертификация. Извършваме вътрешен одит спрямо изискванията на ISO 27017, коригираме установените несъответствия и подготвяме организацията за одит от сертифициращ орган — самостоятелно или като разширение на съществуващ ISO 27001 одит, в зависимост от текущия статус на организацията.

Резултати

След приключване на проекта организацията разполага с ясно документирана и технически потвърдена рамка за сигурност в облачна среда, а не само с формален комплект документи.

• Документиран и договорно обвързан модел на споделена отговорност за всеки използван облачен доставчик или предлагана облачна услуга.
• Конфигурирана и проверена изолация между наематели, придружена с доказателства, готови за представяне пред клиенти, партньори или одитори.
• Работещи политики и технически механизми за управление на достъпа в облачна среда, интегрирани в ежедневните операции, а не съществуващи само на хартия.
• Процедури за сигурно връщане или изтриване на активи при прекратяване на договор с облачен доставчик или с клиент.
• Активен мониторинг на използването на облачните услуги, способен да засича аномалии в достъпа или конфигурацията.
• Готовност за сертификационен одит по ISO 27017, самостоятелно или в комбинация със съществуваща или паралелно изграждана ISO 27001 сертификация.
• Вътрешен капацитет — обучени служители, които разбират границите на споделената отговорност и могат да поддържат системата без постоянна външна намеса.

Често задавани въпроси

Трябва ли първо да имаме ISO 27001, преди да пристъпим към ISO 27017?

На практика да. ISO 27017 не е самостоятелна система за управление на сигурността — той разширява контролите от ISO 27002 и се прилага в контекста на съществуваща система за управление на информационната сигурност, каквато осигурява ISO 27001. Възможно е двата процеса да се водят паралелно, особено ако организацията изгражда ISMS от нулата, но сертификация само по ISO 27017 без основата на ISO 27001 не е стандартна практика при повечето сертифициращи органи. В нашата работа обичайно структурираме проекта така, че двата стандарта да се развиват заедно и да завършат с комбиниран одит.

С какво ISO 27017 е различен от това просто да ползваме сертифициран доставчик като AWS или Azure?

Сертификацията на голям облачен доставчик покрива неговата част от отговорността — физическата инфраструктура, хипервайзора, базовите мрежови контроли. Тя не покрива как вашата организация конфигурира ресурсите в тази инфраструктура, кой има административен достъп, как се управляват идентификационните данни или какво се случва с вашите данни при прекратяване на договора. Именно тук се случва по-голямата част от реалните инциденти в облак — не заради пропуск на доставчика, а заради погрешна конфигурация от страна на клиента. ISO 27017 адресира точно тази ваша част от модела на споделена отговорност, която сертификатът на доставчика не покрива и не може да покрие.

Какви допълнителни разходи и ресурси изисква ISO 27017 над вече внедрен ISO 27001?

Обемът на допълнителната работа зависи от зрялостта на съществуващата ISMS и от сложността на облачната архитектура. Когато ISO 27001 вече е внедрен добре, разширението често се свежда до допълване на съществуващи политики с облачно-специфични раздели, технически преглед на конфигурацията и няколко нови процедури — за изолация между наематели, за връщане на активи, за мониторинг на облачно използване. При организации с множество облачни доставчици или сложна мултинаемана архитектура обемът е по-голям, тъй като картографирането на споделената отговорност трябва да се направи за всеки доставчик поотделно. Конкретна оценка на обхвата и сроковете правим след първоначалния преглед във Фаза 1 и Фаза 2 от методологията.

Ако сме доставчик на SaaS, кои части от ISO 27017 се отнасят конкретно до нас?

Като доставчик на SaaS вие сте едновременно доставчик спрямо вашите клиенти и клиент спрямо инфраструктурата, на която работи вашата услуга — обичайно IaaS или PaaS доставчик отдолу. Това означава, че трябва да адресирате и двете страни на модела: да документирате ясно каква отговорност поемате към вашите клиенти по отношение на достъп, изолация и защита на данните, и същевременно да проверите доколко долният слой инфраструктура, на който разчитате, изпълнява своята част коректно. Особено важни за SaaS доставчиците са контролите за изолация между наематели и за разделяне на административния достъп на вашия персонал от средата на всеки отделен клиент.

Може ли ISO 27017 да покрие и изискванията ни за защита на лични данни в облак, или ни трябва отделен стандарт?

ISO 27017 покрива сигурността на облачните услуги в общ смисъл, но не е специализиран в защитата на лични данни. За организации, които обработват лични данни в облачна среда — включително за целите на съответствие с изисквания като GDPR — обичайната практика е ISO 27017 да се комбинира с ISO/IEC 27018, който адресира конкретно защитата на лични данни в публичен облак от позицията на обработващ данните. Двата стандарта се допълват и много сертифициращи органи издават комбиниран сертификат, обхващащ и трите — ISO 27001, ISO 27017 и ISO 27018.

Колко време отнема целият процес до сертификация?

При организация с вече зряла ISO 27001 система и относително ясна облачна архитектура процесът обичайно отнема между два и четири месеца до готовност за сертификационен одит. При паралелно изграждане на ISO 27001 и ISO 27017 от нулата, или при сложна инфраструктура с множество доставчици и услуги, срокът може да достигне шест до девет месеца. Точната продължителност зависи от резултатите от първоначалната оценка на текущото състояние, а не от предварителна фиксирана оферта.

Следващата стъпка

Ако вашата организация предоставя облачни услуги или разчита на тях в критична част от бизнеса си, въпросът не е дали моделът на споделена отговорност съществува, а дали е документиран, разбран и проверен. Липсата на яснота по този въпрос рядко личи в спокойни времена — тя излиза наяве при инцидент, при одит от клиент или при загуба на договор заради недостатъчни доказателства за сигурност.

Свържете се с нас за първоначален разговор, в който ще прегледаме къде се намирате спрямо изискванията на ISO 27017 — независимо дали вече имате ISO 27001, изграждате го паралелно, или тепърва оценявате какво ви е необходимо. От този разговор ще излезете с конкретна представа за обхвата, сроковете и реалната работа пред вас.