ISO 27017:2015 Cloud-Sicherheit
ISO 27017 Anforderungen: Was Sie dokumentieren und belegen
ISO 27017 verlangt, dass Sie für Ihren Cloud-Dienst festlegen, wer welche Sicherheitsaufgabe trägt, und dass Sie das nachweisen können. Dazu gehören eine Cloud-Risikoanalyse, Mandantentrennung, sichere Löschung von Kundendaten, Virtualisierungssicherheit und ein Incident-Prozess für die Cloud. Diese Seite zeigt, was dahinter steckt und welche Unterlagen Sie dafür bereithalten.
01: Grundlage
Was verlangt ISO 27017 von Ihrem Unternehmen?
ISO 27017:2015 ist ein Leitfaden mit Sicherheitskontrollen für Cloud-Dienste. Er steht nicht für sich allein, sondern ergänzt ISO 27001 und ISO 27002. Diese beiden Normen beschreiben das Managementsystem für Informationssicherheit und die allgemeinen Massnahmen. ISO 27017 legt die Cloud-Perspektive darüber.
Im Zentrum steht eine Frage: Wer übernimmt welche Sicherheitsaufgabe? Der Anbieter betreibt die Infrastruktur, der Kunde konfiguriert und nutzt sie. Die Norm verlangt, dass diese Grenze schriftlich gezogen und im Betrieb eingehalten wird. Das gilt für Cloud-Anbieter ebenso wie für Unternehmen, die Cloud-Dienste einsetzen.
02: Managementrahmen
Die Klauseln 4 bis 10 im Klartext
Der Rahmen stammt aus der gemeinsamen Struktur der ISO-Managementnormen. Für Cloud-Sicherheit füllen Sie jede Klausel mit Inhalten aus Ihrem Dienst.
| Klausel | Thema | Was Sie dokumentieren |
|---|---|---|
| 4 | Kontext | Cloud-Dienste im Angebot oder im Einsatz, interessierte Parteien wie Kunden und Provider, Geltungsbereich |
| 5 | Führung | Informationssicherheitsleitlinie, benannte Verantwortliche, Freigabe durch die Geschäftsleitung |
| 6 | Planung | Cloud-Risikoanalyse, Risikobehandlung, Sicherheitsziele |
| 7 | Unterstützung | Schulungsnachweise, Kompetenz der Administratoren, gelenkte Dokumente |
| 8 | Betrieb | Prozesse für Mandantentrennung, Datenlöschung, Änderungen und Incident Response |
| 9 | Bewertung der Leistung | Interne Überprüfung, Kennzahlen, Management-Review |
| 10 | Verbesserung | Korrekturmassnahmen mit Ursache, Umsetzung und Wirksamkeitsprüfung |
Der Umfang der Unterlagen richtet sich nach der Grösse Ihres Dienstes. Entscheidend ist, dass sie zur Praxis passen.
03: Cloud-Kontrollen
Die sechs cloud-spezifischen Anforderungen
Hier liegt der eigentliche Kern von ISO 27017. Jede Anforderung hat einen klaren Nachweis, den ein Kunde oder Prüfer sehen will.
- Cloud-spezifische Risikoanalyse
- Sie bewerten Risiken, die erst durch die Cloud entstehen: geteilte Infrastruktur, Abhängigkeit vom Provider, Standort der Daten. Dokumentiert wird ein Risikoregister mit Eigner, Bewertung und Massnahme.
- Verantwortlichkeiten (Shared Responsibility)
- Sie legen fest, welche Aufgaben beim Anbieter und welche beim Kunden liegen. Dazu gehört eine Verantwortungsmatrix, die in Vertrag oder Servicebedingungen verankert ist.
- Datenisolierung und Mandantentrennung
- Die Daten eines Kunden dürfen für andere Kunden nicht sichtbar sein. Belegt wird das durch ein Architekturschema, Zugriffskonzepte und Testprotokolle.
- Sichere Löschung von Kundendaten
- Bei Vertragsende oder auf Verlangen geben Sie Daten zurück und löschen sie danach nachvollziehbar. Dokumentiert sind Fristen, Verfahren und die Löschbestätigung an den Kunden.
- Virtualisierungssicherheit
- Virtuelle Maschinen und Hypervisor sind gehärtet, Administratorzugriffe eingeschränkt und protokolliert. Nachweise sind Härtungsstandards, Rollenkonzept und Logging.
- Cloud-spezifische Incident Response
- Ein Vorfall kann mehrere Kunden gleichzeitig betreffen. Sie legen fest, wer meldet, wie Kunden informiert werden und wie Beweise gesichert werden. Dokumentiert sind Meldeprozess, Kontaktliste und Vorfallprotokoll.
04: Rollen
Gelten die Anforderungen für Anbieter und Kunden gleich?
Die Norm kennt beide Seiten, die Aufgaben unterscheiden sich. Als Anbieter setzen Sie die Kontrollen um und machen sie für Ihre Kunden nachvollziehbar. Dazu zählen Mandantentrennung, Löschkonzept und ein Meldeweg bei Vorfällen.
Als Kunde wählen Sie Ihren Provider bewusst aus und prüfen, wofür er zuständig ist. Was bei Ihnen bleibt, etwa Benutzerrechte, Konfiguration und Backups eigener Daten, regeln Sie intern. Fragt ein Kunde oder Ihr Einkauf im Lieferantenfragebogen nach Cloud-Sicherheit, belegen Sie mit der Verantwortungsmatrix genau diese Aufteilung.
05: Nachweise
Welche Unterlagen Sie bereithalten sollten
Eine Kundenprüfung oder Ausschreibung fragt selten nach Theorie. Sie verlangt Dokumente, die Sie sofort vorlegen können.
Geltungsbereich
Welche Cloud-Dienste gehören dazu, welche Standorte, welche Provider im Hintergrund.
Risikoregister
Mit Cloud-Risiken, Verantwortlichen und beschlossenen Massnahmen.
Verantwortungsmatrix
Aufgaben von Anbieter und Kunde, getrennt nach Bereichen wie Zugriff, Backup und Patching.
Lösch- und Rückgabekonzept
Mit Fristen und der Bestätigung, die der Kunde erhält.
Incident-Prozess und Prüfnachweise
Meldeweg, Vorfallprotokoll und Belege der internen Überprüfung.
06: Mit Zertify
Wie Zertify die Anforderungen von ISO 27017 prüft
Die Selbstbewertung besteht aus 34 Ja-Nein-Fragen zu ISO 27017. Zwölf davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Bei den übrigen 22 Fragen sind mindestens 15 Ja-Antworten nötig. Wer besteht und bezahlt, erhält das Zertifikat innerhalb von 4 Stunden.
Das Zertifikat stellt die G6 Agency AG im Rahmen einer Lizenz von SICE (Swiss Institute of Certification and Education) aus. SICE prüft jede Bewertung, bevor das Zertifikat ausgestellt wird. Einen Audit vor Ort gibt es nicht. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF verifizieren, und eine kurze Online-Rezertifizierung bestätigt es jedes Jahr.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive jährlichem Online-Re-Audit. Das Zertifikat ist 3 Jahre gültig. Für den Kauf brauchen Sie kein Konto.
07: FAQ
Häufige Fragen zu den ISO 27017 Anforderungen
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, wo Sie bei ISO 27017 stehen
Die Selbstbewertung zeigt Ihnen anhand von 34 Fragen, welche Anforderungen Sie bereits erfüllen.
Kostenlos und ohne Registrierung.