02 / Compliance und Zertifizierung
ISO/IEC 27017 und 27018, für den Teil der Sicherheit, der in der Cloud liegt
Wir helfen Cloud-Anbietern und ihren Kunden, ein ISMS nach ISO/IEC 27001 um die Cloud- und Datenschutzmaßnahmen dieser Leitfäden zu erweitern und das einem Auditor zu zeigen.
Überblick
Was die beiden Normen abdecken
ISO/IEC 27017 ist ein Leitfaden für Informationssicherheitsmaßnahmen bei Cloud-Diensten. Er ergänzt die Maßnahmen aus ISO/IEC 27002 um Cloud-spezifische Hinweise, für Anbieter wie für Kunden von Cloud-Diensten, und regelt klar, wer wofür zuständig ist.
ISO/IEC 27018 ist ein Leitfaden zum Schutz personenbezogener Daten in Public Clouds, geschrieben für Anbieter, die als Auftragsverarbeiter tätig sind. Er behandelt unter anderem die Bindung an Weisungen des Kunden, die Nutzung personenbezogener Daten für Werbung, Offenlegungen, Rückgabe und Löschung sowie Transparenz über Unterauftragsverarbeiter.
Keine der beiden wird üblicherweise allein zertifiziert. Zertifizierungsstellen prüfen sie als Erweiterung einer Zertifizierung nach ISO/IEC 27001. Black Fox bereitet Sie auf dieses Audit vor, koordiniert es mit unseren langjährigen Zertifizierungspartnern oder Ihrer bisherigen Zertifizierungsstelle und unterstützt Sie dabei; das Zertifikat kommt von der Zertifizierungsstelle.
Für wen es gedacht ist
SaaS-, Plattform- und Infrastrukturanbieter, deren Kunden wissen wollen, wie ihre Daten in der Cloud geschützt sind, Anbieter, die personenbezogene Daten im Auftrag verarbeiten, und Organisationen, die ISO/IEC 27001 bereits haben oder anstreben und die Cloud sichtbar einbeziehen wollen.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Geteilte Verantwortung
Wir ordnen zu, welche Maßnahmen bei Ihnen, bei Ihrem Cloud-Anbieter und bei Ihren Kunden liegen, damit nichts zwischen zwei Verträge fällt.
Gap-Analyse
Ein Abgleich Ihres ISMS und Ihres Cloud-Betriebs mit den zusätzlichen Hinweisen beider Normen, mit Feststellungen nach Risiko und Aufwand geordnet.
Cloud-Maßnahmen
Maßnahmen für Mandantentrennung, Härtung virtueller Umgebungen, administrative Tätigkeiten, Überwachung und die Rückgabe von Kundendaten.
Maßnahmen als Auftragsverarbeiter
Verfahren für Kundenweisungen, Offenlegungsersuchen, Unterauftragsverarbeiter, Speicherorte, Rückgabe und Löschung personenbezogener Daten.
Erklärung zur Anwendbarkeit und Nachweise
Die erweiterten Maßnahmen in Ihrer Erklärung zur Anwendbarkeit, jeweils mit Verweis auf den Nachweis.
Technische Prüfung
Wo sinnvoll, eine Prüfung Ihrer tatsächlichen Cloud-Konfiguration, damit Dokumente und Umgebung dasselbe erzählen.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren die betroffenen Dienste, Ihre Rolle als Anbieter, Kunde oder beides und die Frist. Auf Wunsch zuerst eine Vertraulichkeitsvereinbarung.
Gap-Analyse
Interviews, Dokumentenprüfung und ein Blick in die Cloud-Umgebung, am Ende ein priorisierter Bericht.
Begleitung der Umsetzung
Wir arbeiten mit Ihren Verantwortlichen an Maßnahmen, Verträgen, Kundeninformationen und Nachweisen.
Internes Audit
Ein internes Audit über den Geltungsbereich nach ISO/IEC 27001 und die erweiterten Maßnahmen.
Zertifizierungsaudit
Wir koordinieren die Prüfung der Erweiterung mit einem unserer langjährigen Zertifizierungspartner oder der Stelle, die Sie bereits zertifiziert, bereiten Sie vor und helfen bei etwaigen Feststellungen.
Was Sie erhalten
- Matrix der geteilten Verantwortung für die betroffenen Dienste
- Gap-Analyse mit priorisiertem Maßnahmenplan
- Erweiterte Erklärung zur Anwendbarkeit mit Verweisen auf Nachweise
- Verfahren für Cloud-Betrieb und Auftragsverarbeitung
- Sicherheits- und Datenschutzinformationen für Ihre Kunden
- Bericht zum internen Audit
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Können wir uns allein nach ISO/IEC 27017 oder 27018 zertifizieren lassen?
In der Regel nicht. Beide sind Leitfäden, die ISO/IEC 27001 und 27002 erweitern. Zertifizierungsstellen prüfen sie innerhalb oder neben einer Zertifizierung nach ISO/IEC 27001, und das Ergebnis erscheint üblicherweise auf oder mit diesem Zertifikat.
Wir sind Cloud-Kunde, kein Anbieter. Gilt 27017 für uns?
Durchaus. ISO/IEC 27017 richtet sich an Kunden ebenso wie an Anbieter von Cloud-Diensten, zum Beispiel beim Verständnis der Maßnahmen des Anbieters und bei Ihrem Teil der geteilten Verantwortung.
Wie hängt ISO/IEC 27018 mit ISO/IEC 27701 zusammen?
ISO/IEC 27018 konzentriert sich auf Public-Cloud-Anbieter als Auftragsverarbeiter. ISO/IEC 27701 beschreibt ein Datenschutz-Managementsystem für Verantwortliche und Auftragsverarbeiter allgemein. Viele Cloud-Anbieter betrachten beide, und die Arbeit überschneidet sich.
Stellen Sie das Zertifikat aus?
Nein. Die Zertifizierungsstelle, die Ihren Geltungsbereich nach ISO/IEC 27001 prüft, bewertet auch die Erweiterung. Wir bereiten Sie vor, koordinieren das Audit mit einem unserer langjährigen Zertifizierungspartner oder Ihrer bisherigen Stelle und unterstützen Sie dabei.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Compliance und ZertifizierungISO/IEC 27701ISO/IEC 27701 mit Black Fox Security: Geltungsbereich des PIMS, Rollen als Verantwortlicher und Auftragsverarbeiter, Datenschutzrisiken und Zertifizierungsvorbereitung.
- Compliance und ZertifizierungDSGVODSGVO mit Black Fox Security: Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung, Sicherheit der Verarbeitung, Auftragsverarbeitung und Datenpannen.
Zeigen Sie Ihren Kunden, wie die Cloud-Seite geregelt ist
Erzählen Sie uns, welche Dienste Sie betreiben und wer welche Schlüssel hält. Wir zeigen Ihnen, wo die Lücken sind.