ISO 27017 und ISO 27001: Unterschied für Cloud-Anbieter

ISO 27001 legt fest, wie Sie Informationssicherheit in Ihrem Unternehmen als Managementsystem führen. ISO 27017 ergänzt dazu Sicherheitsmassnahmen für Cloud-Dienste und ist eine Leitlinie, kein eigenes Managementsystem.

Für Ihre Praxis heisst das: ISO 27001 beantwortet die Frage, ob Sie Informationssicherheit systematisch steuern. ISO 27017 beantwortet die Frage, ob Sie dabei die Besonderheiten der Cloud berücksichtigen, etwa geteilte Verantwortung, virtuelle Umgebungen und die Rückgabe von Kundendaten.

Was ISO 27001 regelt

ISO 27001 ist ein Managementsystem-Standard. Er folgt der gemeinsamen Struktur der ISO-Managementsysteme mit den Kapiteln 4 bis 10: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Sie legen den Geltungsbereich fest, bewerten Risiken, wählen Massnahmen aus und überprüfen regelmässig, ob diese wirken.

Die Massnahmen selbst stehen in einem Anhang der Norm. Er ist inhaltlich mit ISO 27002 abgestimmt, dem Katalog, der die einzelnen Sicherheitsmassnahmen erläutert. Von Zugriffsrechten über Lieferantenbeziehungen bis zur Protokollierung ist dort alles abgedeckt, unabhängig davon, ob Ihre Systeme im eigenen Keller oder bei einem Hosting-Anbieter laufen.

Der Standard ist bewusst allgemein gehalten. Eine Treuhandkanzlei, eine Softwarefirma und ein Spital wenden ihn unterschiedlich an, weil ihre Risiken unterschiedlich sind. Was die Norm verlangt, ist der Prozess: Risiken erkennen, Entscheidungen begründen, Nachweise führen.

Was ISO 27017 ergänzt

ISO 27017:2015 trägt den Titel "Code of practice for information security controls based on ISO/IEC 27002 for cloud services". Sie baut also auf ISO 27002 auf und gibt zusätzliche Hinweise für den Einsatz und den Betrieb von Cloud-Diensten. Die Hinweise richten sich an zwei Seiten: an Anbieter von Cloud-Diensten und an Unternehmen, die solche Dienste nutzen.

Dazu kommen einige zusätzliche Massnahmen, die es in ISO 27002 so nicht gibt. Sie behandeln Themen, die bei klassischer IT keine Rolle spielen:

• die Aufteilung der Verantwortung zwischen Anbieter und Kunde
• die Rückgabe und Löschung von Kundendaten bei Vertragsende
• die Trennung von Kunden in gemeinsam genutzten, virtuellen Umgebungen
• die Härtung virtueller Maschinen
• die sichere Administration durch den Anbieter
• die Überwachung der Cloud-Dienste

Wer eine SaaS-Anwendung betreibt oder Kundendaten bei einem Cloud-Anbieter verarbeitet, findet in diesen Punkten genau die Fragen, die Kunden in Fragebögen stellen. Die Detailseite zum Standard finden Sie unter ISO 27017 Cloud-Sicherheit.

Die Unterschiede im Vergleich

Der wichtigste Punkt steckt in der zweiten Zeile der Tabelle. ISO 27001 beschreibt, wie Sie ein System führen. ISO 27017 sagt, welche zusätzlichen Massnahmen in der Cloud sinnvoll sind. Die beiden Normen konkurrieren deshalb nicht. Die eine liefert den Rahmen, die andere eine Vertiefung für ein bestimmtes Einsatzgebiet.

Sind Sie Cloud-Anbieter oder Cloud-Kunde?

ISO 27017 unterscheidet zwei Rollen, und viele Unternehmen haben beide gleichzeitig.

Als Anbieter

Sie stellen anderen einen Dienst bereit: eine Software im Browser, eine Plattform, einen Speicher, eine Schnittstelle. Ihre Kunden müssen Ihnen Daten anvertrauen und wollen wissen, wer im Ernstfall wofür zuständig ist. Hier ist ISO 27017 am nächsten an Ihrem Geschäft, denn die Norm beschreibt, was Sie Ihren Kunden zu Verantwortlichkeiten, Datenrückgabe und Mandantentrennung nachvollziehbar darlegen sollten.

Als Kunde

Sie nutzen Microsoft 365, ein CRM, einen Hosting-Dienst oder eine Buchhaltung in der Cloud. Auch dann bleibt die Verantwortung für Ihre Daten bei Ihnen. ISO 27017 hilft Ihnen, Anbieter zu beurteilen und Ihre eigenen Aufgaben zu klären, zum Beispiel Zugriffsrechte, Konfiguration und Ausstiegsszenarien.

Brauchen Sie beide Normen?

Das hängt davon ab, wer von Ihnen einen Nachweis verlangt. Ein Einkauf, der in seinem Lieferantenfragebogen nach ISO 27001 fragt, will ein geführtes Sicherheitssystem sehen. Ein Kunde, der Ihre Cloud-Plattform prüft, fragt dagegen oft gezielt nach der Absicherung der Cloud-Umgebung. In Ausschreibungen für Software-Dienste tauchen beide Normen auf, manchmal in derselben Zeile.

Für kleine Anbieter ist ISO 27017 oft der naheliegendere Einstieg, weil sie direkt auf das Produkt zielt und weniger Organisationsaufwand voraussetzt als der Aufbau eines vollständigen Managementsystems. Wie sich Normen im Alltag kleiner Betriebe einordnen lassen, beschreibt der Leitfaden zu ISO-Zertifizierung für KMU.

Klären Sie vor der Entscheidung zwei Dinge. Erstens: Welche Norm steht wörtlich in der Anforderung des Kunden? Zweitens: Verlangt der Kunde ausdrücklich einen klassischen Weg mit Vor-Ort-Audit durch eine Zertifizierungsstelle, oder genügt ihm ein überprüfbares Zertifikat? Wer diese Fragen im Vorfeld stellt, erspart sich unnötige Arbeit.

Checkliste: Welche Norm passt zu Ihrem Fall?

• Ich weiss, ob ich Cloud-Dienste anbiete, nutze oder beides.
• Ich habe die Anforderung des Kunden oder der Ausschreibung wörtlich gelesen.
• Ich kann benennen, welche Kundendaten in meiner Cloud-Umgebung liegen.
• Die Verantwortung zwischen mir und meinem Cloud-Anbieter ist schriftlich geklärt.
• Ich habe festgelegt, was mit Kundendaten bei Vertragsende geschieht.
• Administratorzugriffe sind eingeschränkt und werden protokolliert.
• Kunden sind in meiner Umgebung technisch voneinander getrennt.
• Ich weiss, wer bei einem Sicherheitsvorfall intern entscheidet.
• Ich habe geprüft, ob der Kunde einen Nachweis mit Vor-Ort-Audit verlangt.

Können Sie mehrere Punkte nicht abhaken, ist das kein Problem. Es zeigt Ihnen, welche Themen Sie vor einer Bewertung klären sollten.

Häufige Missverständnisse

ISO 27017 ersetzt ISO 27001. Das stimmt nicht. Die Leitlinie ergänzt und setzt voraus, dass Informationssicherheit grundsätzlich geregelt ist. Als Ersatz für ein Managementsystem ist sie nicht gedacht.

ISO 27017 gilt nur für grosse Cloud-Anbieter. Die Norm gilt für jede Grösse. Ein Zwei-Personen-Betrieb mit einer Web-Anwendung ist ein Cloud-Anbieter, sobald Kunden ihre Daten darin ablegen.

Mit der Cloud sinkt der eigene Aufwand. Der Anbieter übernimmt Teile der Technik. Konfiguration, Benutzerverwaltung und der Umgang mit Daten bleiben Ihre Aufgabe. Genau diese Aufteilung macht ISO 27017 sichtbar.

So passt Zertify dazu

Zertify stellt ISO-Zertifikate auf Basis eines Online-Selbstassessments aus, ohne Vor-Ort-Audit. Für die Cloud-Sicherheit beantworten Sie die Fragen zu ISO 27017 in Ihrem eigenen Tempo. Ein Mitglied des SICE Certification Board prüft jedes Assessment, bevor das Zertifikat ausgestellt wird. Ausgestellt wird es von der G6 Agency AG im Rahmen einer Lizenz des SICE (Swiss Institute of Certification and Education).

Nach bestandenem Assessment und erfolgter Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden. Es enthält einen QR-Code, der zu einer öffentlichen Verifizierungsseite führt. Ihr Einkauf oder Ihr Kunde kann die Echtheit damit selbst prüfen, ohne bei Ihnen nachzufragen.

Das Zertifikat gilt drei Jahre und wird jedes Jahr mit einem kurzen Online-Re-Audit bestätigt. Das läuft als jährliches Abonnement. Wie diese Variante sich vom klassischen Weg unterscheidet, steht im Beitrag zur Zertifizierung ohne Audit. Die Preise finden Sie auf der Seite Preise.

Wer starten möchte, öffnet das Assessment. Sie müssen vorher nichts vorbereiten ausser den Überblick darüber, wo Ihre Daten liegen und wer darauf zugreift.

Wann der klassische Weg die bessere Wahl ist

Manche Kunden verlangen ausdrücklich ein Zertifikat, das nach einem Vor-Ort-Audit durch eine Zertifizierungsstelle ausgestellt wurde. Steht das so in der Ausschreibung oder im Vertrag, ist dieser klassische Weg gesetzt. Fragen Sie in solchen Fällen vorab nach, bevor Sie Zeit und Geld investieren.

In vielen anderen Fällen reicht dem Kunden ein überprüfbarer Nachweis, dass Ihre Cloud-Umgebung nach ISO 27017 bewertet wurde. Das gilt besonders für Lieferantenfragebögen, bei denen der Einkauf eine Zertifikatsnummer eintragen und die Echtheit prüfen will.

Reihenfolge, die sich bewährt

Beginnen Sie bei der Anforderung Ihres Kunden. Daraus ergibt sich, welche Norm zählt. Klären Sie danach Ihre Rolle als Anbieter, als Kunde oder beides. Halten Sie schliesslich schriftlich fest, wie Verantwortung, Datenrückgabe und Zugriffe geregelt sind. Mit diesen Unterlagen beantworten Sie ein Assessment zügig und den nächsten Fragebogen ebenfalls.