Przejdź do głównej zawartości

5.23 Bezpieczeństwo informacji przy korzystaniu z usług chmurowych ★

W skrócie: organizacja świadomie zarządza bezpieczeństwem usług chmurowych — od wyboru dostawcy, przez podział odpowiedzialności, po plan wyjścia.

Cel: określenie i zarządzanie bezpieczeństwem informacji przy korzystaniu z usług chmurowych.

★ Zabezpieczenie nowe w wydaniu 2022 — nie ma odpowiednika w ISO/IEC 27002:2013.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Supplier_relationships_security (bezpieczeństwo relacji z dostawcami)
Domeny bezpieczeństwa#Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja ustanawia politykę tematyczną usług chmurowych i przekazuje ją zainteresowanym stronom.
  • Określa wymagania bezpieczeństwa wobec usług, kryteria wyboru dostawców i zakres ich wykorzystania.
  • Definiuje podział odpowiedzialności między siebie a dostawcę chmury — i między kolejnymi stronami, jeśli dostawca korzysta z podwykonawców.
  • Ustala, jak będzie uzyskiwać zapewnienie o zabezpieczeniach dostawcy (certyfikaty, raporty), jak zarządzać incydentami i jak monitorować usługę.
  • Norma zauważa, że umowy chmurowe są często standardowe i nienegocjowalne. Organizacja powinna przeanalizować je pod kątem swoich wymagań i ocenić ryzyko, gdy czegoś brakuje.
  • Umowa powinna obejmować m.in. ochronę danych, lokalizację przetwarzania, obsługę incydentów, zmiany usługi, wsparcie przy zakończeniu i zwrot lub usunięcie danych.
  • Organizacja planuje wyjście z usługi — migrację danych i usług do innego dostawcy lub do siebie.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Model współdzielonej odpowiedzialności dostawcy (IaaS, PaaS, SaaS) rozpisany na konkretne zabezpieczenia w SoA.
  • Narzędzia CSPM do ciągłej kontroli konfiguracji chmury (otwarte zasobniki, publiczne bazy, brak szyfrowania).
  • Certyfikaty ISO/IEC 27017 i 27018 lub raport SOC 2 Type II jako dowody — z weryfikacją zakresu usług.
  • Test strategii wyjścia: czy eksport danych faktycznie działa i w jakim formacie.

Powiązania​