ISO 27017 Cloud-Sicherheit
ISO 27017 Beratung: brauchen Sie sie wirklich?
Ein Berater lohnt sich, wenn Ihre Cloud-Sicherheit erst aufgebaut werden muss. Läuft sie bereits im Betrieb und fehlt nur der Nachweis, genügt die Selbstbeurteilung von Zertify. Auf dieser Seite sehen Sie, was Berater leisten, was das ungefähr kostet und wie der direkte Weg zum Zertifikat aussieht.
01: Einordnung
Brauchen Sie für ISO 27017 einen Berater?
Das hängt davon ab, was in Ihrem Betrieb schon vorhanden ist. ISO 27017:2015 ist ein Leitfaden mit Sicherheitskontrollen für Cloud-Dienste und ergänzt ISO 27001 und ISO 27002. Im Zentrum steht die Frage, wer welche Sicherheitsaufgabe übernimmt: Anbieter oder Kunde.
Viele KMU stehen nicht bei null. Der Einkauf eines Kunden schickt einen Lieferantenfragebogen und verlangt einen Nachweis für Cloud-Sicherheit. Die Mandanten sind technisch getrennt, Administratorzugriffe werden protokolliert, es gibt ein Löschkonzept. Was fehlt, ist das Dokument, das dies belegt. In diesem Fall ist ein mehrwöchiges Beratungsprojekt mehr, als die Situation verlangt.
Anders ist es, wenn Sie einen Cloud-Dienst gerade erst aufbauen oder die Rollen zwischen Ihnen und Ihren Kunden nie festgehalten haben. Dann hilft externe Erfahrung.
02: Leistungen
Was ein ISO 27017 Berater konkret macht
Ein Beratungsprojekt folgt meist derselben Reihenfolge. Je nach Reifegrad Ihres Unternehmens fallen einzelne Schritte kürzer aus oder entfallen.
Gap-Analyse
Der Berater vergleicht Ihre bestehenden Massnahmen mit den Kontrollen des Standards und listet die Lücken auf.
Cloud-spezifische Risikoanalyse
Er bewertet Risiken, die erst durch den Cloud-Betrieb entstehen, etwa gemeinsam genutzte Infrastruktur oder Zugriffe des Providers.
Rollenmodell nach Shared Responsibility
Er hält schriftlich fest, was Sie als Anbieter oder Kunde übernehmen und was beim Cloud-Provider liegt.
Technische und organisatorische Massnahmen
Dazu zählen Mandantentrennung, Virtualisierungssicherheit, sichere Löschung von Kundendaten und der Umgang mit Administratorzugriffen.
Dokumentation und Schulung
Richtlinien, Verfahrensanweisungen und eine Einweisung für Administratoren und Support.
Begleitung bis zum Nachweis
Der Berater bereitet Sie auf Rückfragen eines Auditors oder eines Kundenaudits vor.
03: Aufwand
Umfang und Tagessätze einer ISO 27017 Beratung
Die folgenden Zahlen sind Richtwerte aus dem klassischen Beratungsmarkt, keine Offerte. Der tatsächliche Aufwand hängt von Ihrer Unternehmensgrösse, der Zahl der Cloud-Dienste und dem Stand Ihrer Dokumentation ab.
| Baustein | Beratertage (Richtwert) | Inhalt |
|---|---|---|
| Gap-Analyse | 2 bis 5 | Ist-Zustand gegen Kontrollen des Standards |
| Risikoanalyse und Rollenmodell | 3 bis 8 | Cloud-Risiken, Shared Responsibility |
| Richtlinien und Dokumentation | 5 bis 15 | Vorgaben, Verfahren, Nachweise |
| Schulung und interne Prüfung | 2 bis 5 | Administratoren, Support, Stichproben |
| Begleitung beim Audit | 1 bis 3 | Vorbereitung und Rückfragen |
Tagessätze für Informationssicherheitsberatung in der Schweiz liegen indikativ zwischen 1'200 und 2'000 CHF. Bei 13 bis 36 Beratertagen ergibt das grob 15'000 bis 70'000 CHF, bevor Kosten für die Zertifizierungsstelle dazukommen. Die Projektdauer beträgt indikativ mehrere Wochen bis einige Monate.
04: Zertify
Zertifikat ohne Beratungsprojekt: so funktioniert die Selbstbeurteilung
Bei Zertify beantworten Sie online 34 Ja/Nein-Fragen zu ISO 27017. 12 davon sind Pflichtanforderungen des Standards und müssen alle mit Ja beantwortet werden. Bei den übrigen 22 Fragen braucht es mindestens 15 Ja-Antworten. Die Fragen decken dieselben Themen ab, die ein Berater in der Gap-Analyse durchgeht: Verantwortlichkeiten, Mandantentrennung, Löschung von Kundendaten, Virtualisierung und Incident Response.
Das Zertifikat stellt die G6 Agency AG im Rahmen einer Lizenz des SICE (Swiss Institute of Certification and Education) aus. Das SICE prüft jede Selbstbeurteilung, bevor das Zertifikat entsteht. Es gibt keinen Vor-Ort-Audit. Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden als PDF mit Nummer und QR-Code. Ihr Kunde prüft es auf der öffentlichen Verifizierungsseite.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive des jährlichen Online-Re-Audits. Das Zertifikat ist 3 Jahre gültig. Das Abo verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Mit der Kündigung endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und Liechtenstein sind 8.1 % MWST enthalten, ein Konto brauchen Sie zum Kauf nicht.
05: Entscheidung
Wann sich ein Berater lohnt und wann nicht
Die Wahl ist keine Grundsatzfrage. Sie hängt vom Zustand Ihrer Cloud-Sicherheit und vom Zweck des Zertifikats ab.
- Beratung sinnvoll
- Sie bauen einen Cloud-Dienst neu auf, haben keine dokumentierten Rollen und Prozesse oder müssen Lücken technisch erst schliessen. Ein Berater spart Ihnen dann Fehlversuche.
- Selbstbeurteilung genügt
- Die Massnahmen laufen, Verantwortlichkeiten sind bekannt, und ein Kunde oder eine Ausschreibung verlangt einen Nachweis. Sie beantworten die 34 Fragen selbst und erhalten das Zertifikat ohne Projekt.
- Kombination
- Sie lassen eine Gap-Analyse extern durchführen, setzen die Lücken selbst um und holen danach das Zertifikat über Zertify. So begrenzen Sie die Beratertage auf das, was Sie wirklich nicht selbst können.
- Klassischer Weg
- Verlangt ein Kunde ausdrücklich ein Audit vor Ort durch eine Zertifizierungsstelle, ist das die klassische Route. Beide Wege im Vergleich finden Sie im Ratgeber.
06: Vorbereitung
Selbst vorbereiten: was Sie vor der Selbstbeurteilung klären
Wer ohne Berater arbeitet, sollte vier Punkte zusammentragen, bevor er die Fragen öffnet. Die Antworten müssen der Wirklichkeit entsprechen, denn sie bilden die Grundlage des Zertifikats.
Zuständigkeiten
Wer verantwortet welche Sicherheitsaufgabe zwischen Ihnen, Ihrem Cloud-Provider und Ihren Kunden? Halten Sie das in einem Dokument fest.
Trennung der Kundendaten
Können Sie erklären, wie Mandanten voneinander getrennt sind und wer auf welche Umgebung zugreifen darf?
Löschung und Datenrückgabe
Was passiert mit Kundendaten, wenn ein Vertrag endet? Es braucht ein Verfahren, das jemand nachvollziehen kann.
Vorfälle in der Cloud
Wer meldet, wer entscheidet, wer informiert den Kunden? Ein Ablauf, der speziell Cloud-Vorfälle berücksichtigt, gehört dazu.
07: FAQ
Häufige Fragen zur ISO 27017 Beratung
08: Ratgeber
Weiterführende Seiten
Prüfen Sie, ob Sie ohne Berater zum Zertifikat kommen
Die Selbstbeurteilung zu ISO 27017 zeigt Ihnen anhand von 34 Fragen, wo Ihre Cloud-Sicherheit steht.
Kostenlos und ohne Registrierung.