ISO 270178 Min. Lesezeit
ISO 27017 für SaaS Anbieter: Anforderungen und Nachweis
Was ISO 27017:2015 von SaaS Anbietern verlangt, welche Cloud-Massnahmen Kunden prüfen und wie Sie den Nachweis ohne Vor-Ort-Audit erbringen.
Von Zertify Redaktion
ISO 27017 ist der Standard für Informationssicherheit in Cloud-Diensten, und Einkaufsabteilungen fragen SaaS Anbieter zunehmend danach. Wer ihn vorlegen kann, beantwortet einen grossen Teil des Sicherheitsfragebogens mit einem einzigen Dokument.
Dieser Artikel erklärt, was ISO 27017:2015 von einem SaaS Anbieter konkret verlangt, wo sich die Anforderungen von allgemeiner Informationssicherheit unterscheiden und wie Sie den Nachweis erbringen, ohne ein mehrmonatiges Projekt aufzusetzen.
Was ISO 27017 regelt
ISO 27017:2015 ist ein Leitfaden mit Sicherheitsmassnahmen für Cloud-Dienste. Er baut auf ISO 27002 auf, dem allgemeinen Katalog von Massnahmen zur Informationssicherheit, und ergänzt ihn um Vorgaben, die erst in der Cloud entstehen. Dazu gehören Fragen wie: Wer ist für welchen Teil der Sicherheit zuständig? Was passiert mit Kundendaten, wenn der Vertrag endet? Wie sind Kunden auf derselben Infrastruktur voneinander getrennt?
Der Standard richtet sich an zwei Rollen. Der Cloud-Anbieter stellt den Dienst bereit. Der Cloud-Kunde nutzt ihn. Als SaaS Anbieter sind Sie in der ersten Rolle. Sobald Sie Ihre Software auf der Infrastruktur eines Hyperscalers betreiben, sind Sie gegenüber diesem Anbieter aber selbst Kunde. ISO 27017 betrachtet beide Seiten, und genau diese doppelte Rolle prüfen Ihre Kunden.
Warum Kunden von SaaS Anbietern danach fragen
Wer eine Software als Dienst einkauft, gibt die Kontrolle über Server, Updates und Betrieb ab. Die Daten liegen bei Ihnen, die Verantwortung dafür bleibt aber teilweise beim Kunden. Dieser muss gegenüber seinen eigenen Kunden, Revisoren und Aufsichtsstellen belegen, dass er den Anbieter sorgfältig ausgewählt hat.
Daraus entstehen drei Situationen, in denen SaaS Anbieter nach ISO 27017 gefragt werden:
- Ein Lieferantenfragebogen enthält einen Abschnitt zur Cloud-Sicherheit, und der Einkauf möchte einen Nachweis statt langer Freitextantworten.
- In einer Ausschreibung steht ISO 27001 oder ein Cloud-Zertifikat als Eignungskriterium.
- Ein Grosskunde kündigt ein Kundenaudit an, und Sie müssen vorab zeigen, dass Ihre Massnahmen dokumentiert sind.
In allen drei Fällen geht es um denselben Punkt: Ein unabhängig geprüfter Nachweis spart beiden Seiten Zeit.
Geteilte Verantwortung ist der Kern
Die wichtigste Anforderung für SaaS Anbieter betrifft die Aufteilung der Rollen. ISO 27017 verlangt, dass Anbieter und Kunde ihre Zuständigkeiten für Sicherheit festlegen, dokumentieren und kommunizieren. Im Standard steht dazu die Massnahme CLD.6.3.1, Rollen und Verantwortlichkeiten in der gemeinsamen Zuständigkeit.
In der Praxis heisst das: Sie schreiben auf, was Sie übernehmen und was beim Kunden bleibt. Backups der Plattform liegen bei Ihnen. Die Vergabe von Benutzerrechten innerhalb des Kundenkontos liegt beim Kunden. Die Verschlüsselung der Datenübertragung ist Ihre Aufgabe, die Wahl eines starken Passworts durch die Mitarbeitenden des Kunden nicht.
Diese Aufteilung gehört in Ihre Vertragsunterlagen, in die Dokumentation und in die Antworten auf Fragebögen. Viele Anbieter haben sie im Kopf, aber nirgends festgehalten. Das ist die häufigste Lücke.
Dasselbe gilt in Gegenrichtung. Wenn Sie Ihren Dienst bei einem Infrastrukturanbieter betreiben, sollten Sie wissen, welche Sicherheitsaufgaben dieser abdeckt und welche bei Ihnen bleiben. Ein Verweis auf das Zertifikat des Rechenzentrums ersetzt Ihre eigenen Massnahmen nicht.
Die Cloud-spezifischen Massnahmen im Überblick
Neben der geteilten Verantwortung führt ISO 27017 eine Reihe zusätzlicher Massnahmen mit der Kennung CLD ein. Für SaaS Anbieter sind diese relevant:
Rückgabe und Löschung von Kundendaten
CLD.8.1.5 verlangt, dass Sie beim Vertragsende die Daten des Kunden zurückgeben oder löschen, und zwar nach einem beschriebenen Verfahren. Der Kunde will wissen, in welchem Format er seine Daten erhält, wie lange Sie sie danach aufbewahren und wann sie auch aus Backups verschwinden.
Trennung der Kunden in virtuellen Umgebungen
CLD.9.5.1 behandelt die Trennung von Kundenumgebungen. Bei einer Multi-Tenant-Architektur teilen sich mehrere Kunden dieselbe Plattform. Sie müssen darlegen, wie Mandanten logisch getrennt sind und wie verhindert wird, dass ein Kunde Daten eines anderen sieht.
Härtung virtueller Maschinen
CLD.9.5.2 betrifft die Konfiguration virtueller Maschinen. Nicht benötigte Dienste und Ports sind abgeschaltet, Images werden gepflegt, Patches werden eingespielt. Wer Container einsetzt, überträgt diesen Grundsatz auf seine Images und die Orchestrierung.
Betriebssicherheit der Administratoren
CLD.12.1.5 verlangt dokumentierte Abläufe für administrative Tätigkeiten. Wer darf auf Produktivsysteme zugreifen, wie wird der Zugriff protokolliert, und welche Schritte gelten bei einem Eingriff in Kundendaten? Kunden fragen hier gezielt nach privilegierten Zugriffen Ihrer Mitarbeitenden.
Überwachung des Dienstes
CLD.12.4.5 behandelt die Überwachung. Der Kunde soll Einblick in Aspekte des Dienstes erhalten, die für seine Sicherheit relevant sind, etwa Protokolle zu seinen eigenen Aktivitäten oder Statusmeldungen bei Störungen.
Abstimmung virtueller und physischer Netzwerke
CLD.13.1.4 verlangt, dass die Sicherheitskonfiguration des virtuellen Netzwerks zu derjenigen des physischen Netzwerks passt. Wer in der Cloud eine Netzwerksegmentierung plant, sollte sie so dokumentieren, dass sie mit der darunterliegenden Infrastruktur übereinstimmt.
Wie ISO 27017 zu ISO 27001 steht
ISO 27001 beschreibt ein Managementsystem für Informationssicherheit. ISO 27017 ergänzt dieses um Cloud-Massnahmen und ist selbst kein eigenes Managementsystem. Wer bereits nach ISO 27001 arbeitet, hat die Grundlagen: Risikobeurteilung, Zugriffsregeln, Lieferantensteuerung, Vorfallmanagement. Für ISO 27017 kommen die oben genannten Punkte hinzu.
Haben Sie noch keine dieser Grundlagen, lohnt sich trotzdem der Blick auf ISO 27017. Der Standard gibt Ihnen eine klare Liste, was ein Cloud-Kunde sehen will, und Sie sparen sich damit viele einzelne Rückfragen. Für kleinere Teams ist das ein realistischer Einstieg. Der Leitfaden ISO Zertifizierung für KMU zeigt, wie sich ein Standard auch mit wenigen Personen im Betrieb umsetzen lässt.
Checkliste: Was Sie vor einem Nachweis klären sollten
Wo Fragebögen ins Stocken geraten
Die meisten Verzögerungen entstehen nicht bei der Technik, sondern bei der Dokumentation. Ein Entwicklungsteam setzt Mandantentrennung sauber um, kann aber kein Dokument zeigen, das sie beschreibt. Der Kunde fragt nach, das Team schreibt eine individuelle Antwort, und beim nächsten Kunden beginnt es von vorn.
Ein zweiter Stolperstein ist der Verweis auf das Rechenzentrum. Der Satz «Wir hosten bei einem zertifizierten Anbieter» beantwortet nur den Teil, der unter dessen Kontrolle liegt. Die Anwendungsebene, die Administratorzugriffe und die Datenlöschung bleiben Ihre Sache.
Drittens fehlt häufig ein definierter Ablauf für den Vertragsausstieg. Kunden, die einen Wechsel planen, stellen diese Frage früh. Ein beschriebener Ablauf mit Format, Frist und Löschbestätigung nimmt dem Gespräch die Schärfe.
Der Weg zum Nachweis
Der klassische Weg führt über eine Zertifizierungsstelle mit Vor-Ort-Audit. Das ist angemessen, wenn ein Kunde ausdrücklich ein solches Audit verlangt. Für viele Ausschreibungen und Fragebögen reicht jedoch ein geprüfter, öffentlich verifizierbarer Nachweis auf Basis einer strukturierten Selbstbeurteilung. Welche Variante bei Ihnen passt, klärt am besten ein Blick in die Anforderung des jeweiligen Kunden. Eine ausführliche Einordnung bietet der Beitrag ISO Zertifizierung ohne Audit.
Wie Zertify dabei hilft
Zertify stellt Zertifikate auf Grundlage einer Online-Selbstbeurteilung aus. Es gibt kein Vor-Ort-Audit. Sie beantworten die Fragen zu den Anforderungen des Standards, ein Mitglied des SICE Certification Board prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird. Ausgestellt wird es von der G6 Agency AG unter Lizenz des SICE (Swiss Institute of Certification and Education).
Bei bestandener Beurteilung und erfolgter Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden. Auf dem PDF befindet sich ein QR-Code, der auf eine öffentliche Verifizierungsseite führt. Ihr Kunde kann dort selbst prüfen, ob das Zertifikat echt und gültig ist.
Das Zertifikat gilt drei Jahre und wird jedes Jahr mit einem kurzen Online-Re-Audit bestätigt. Das ist ein jährliches Abonnement. Die Angaben dazu finden Sie auf der Preisseite.
Die Details zum Standard, den Umfang der Fragen und den Ablauf finden Sie auf der Seite ISO 27017:2015 Cloud-Sicherheit. Wenn Sie bereit sind, starten Sie die Selbstbeurteilung direkt online.
Was Sie danach mit dem Zertifikat tun
Legen Sie das Zertifikat dort ab, wo Fragebögen entstehen: im Datenraum für Vertriebsanfragen, in den Ausschreibungsunterlagen und auf Ihrer Sicherheitsseite. Verlinken Sie die Verifizierungsseite, damit der Einkauf des Kunden nicht per E-Mail nachfragen muss.
Halten Sie ausserdem die Dokumente bereit, die Sie für die Beurteilung erstellt haben, etwa die Aufteilung der Verantwortung und das Löschverfahren. Sie dienen bei jedem Kundengespräch als Grundlage und erleichtern das jährliche Re-Audit.
Häufige Fragen
Brauche ich ISO 27001, bevor ich ISO 27017 nachweisen kann?
Nein, eine Voraussetzung ist ISO 27001 nicht. ISO 27017 ergänzt den allgemeinen Massnahmenkatalog um Cloud-spezifische Punkte. Wer bereits nach ISO 27001 arbeitet, hat einen Vorsprung, weil Risikobeurteilung, Zugriffsregeln und Lieferantensteuerung schon vorhanden sind.
Gilt ISO 27017 auch für uns, wenn wir bei einem Hyperscaler hosten?
Ja. Gegenüber Ihren Kunden sind Sie Cloud-Anbieter, gegenüber dem Infrastrukturanbieter selbst Cloud-Kunde. Das Zertifikat des Rechenzentrums deckt nur dessen Teil ab. Anwendungsebene, Administratorzugriffe und Datenlöschung bleiben Ihre Aufgabe.
Wie schnell erhalte ich das Zertifikat bei Zertify?
Nach bestandener Selbstbeurteilung und Zahlung stellt Zertify das Zertifikat innerhalb von 4 Stunden aus. Ein Mitglied des SICE Certification Board prüft jede Beurteilung vor der Ausstellung.
Wie lange ist das Zertifikat gültig?
Es gilt drei Jahre. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit. Dieses ist als jährliches Abonnement organisiert.
Können meine Kunden das Zertifikat selbst prüfen?
Ja. Auf dem PDF befindet sich ein QR-Code, der zu einer öffentlichen Verifizierungsseite führt. Dort sehen Einkauf oder Revisoren, ob das Zertifikat echt und gültig ist.
