ISO 27017:2015 Cloud-Sicherheit
ISO 27017 Checkliste: Wo steht Ihr Unternehmen?
Die Checkliste führt Sie durch die Klauseln 4 bis 10 und nennt für jeden Punkt den Nachweis, den Prüfer und Einkäufer sehen wollen. Wer die meisten Punkte mit Dokumenten belegen kann, ist bereit für die Zertifizierung. Lücken erkennen Sie, bevor sie in einem Lieferantenfragebogen auffallen.
01: Überblick
Wie Sie diese ISO 27017 Checkliste einsetzen
ISO 27017 ergänzt ISO 27001 und ISO 27002 um Kontrollen für Cloud-Dienste. Die Kernfrage lautet: Wer übernimmt welche Sicherheitsaufgabe, der Anbieter oder der Kunde? Die Checkliste folgt deshalb dem Aufbau eines Managementsystems, von Klausel 4 (Kontext) bis Klausel 10 (Verbesserung), und setzt in jedem Abschnitt den Cloud-Bezug.
Gehen Sie jeden Punkt mit der Person durch, die ihn im Alltag verantwortet. Meist sind das die IT-Leitung, die Geschäftsführung und wer den Vertragsbestand pflegt. Ein Punkt gilt als erfüllt, wenn Sie den genannten Nachweis auf Anfrage vorlegen können. Eine mündliche Zusage genügt nicht.
Die Checkliste richtet sich an Cloud-Anbieter, Hosting-Betreiber, Managed Service Provider und Softwarefirmen mit Cloud-Angebot. Auch Unternehmen, die Cloud-Dienste nur nutzen, können sie verwenden. Für sie gehören vor allem die Punkte zu Verantwortlichkeiten, Datenrückgabe und Lieferantensteuerung dazu.
02: Klauseln 4 und 5
Kontext und Führung: Rolle und Verantwortung klären
Hier legen Sie fest, in welcher Position Sie sich befinden und wer im Haus für Cloud-Sicherheit geradesteht.
Cloud-Rolle festgelegt
Sie wissen, ob Sie Anbieter, Kunde oder beides sind. Nachweis: Dienstbeschreibung, Architekturübersicht, Liste der genutzten Cloud-Dienste.
Anforderungen der Kunden erfasst
Verträge, Lieferantenfragebögen und Datenschutzvorgaben sind ausgewertet. Nachweis: Vertragsregister oder Anforderungsliste mit Quelle und Verantwortlichem.
Geltungsbereich beschrieben
Dienste, Standorte und Mandanten im Scope sind benannt. Nachweis: Scope-Dokument mit Datum und Freigabe.
Shared Responsibility geregelt
Anbieter und Kunde wissen, wer Backup, Patching, Zugriffsrechte und Protokolle verantwortet. Nachweis: Zuständigkeitsmatrix, entsprechende Passage im Servicevertrag.
Sicherheitspolitik mit Cloud-Bezug
Die Geschäftsleitung hat eine Politik freigegeben, die Cloud-Dienste ausdrücklich nennt. Nachweis: unterzeichnete Richtlinie mit Versionsstand.
03: Klauseln 6 und 7
Planung und Unterstützung: Risiken, Kompetenz, Dokumente
Die Risikoanalyse ist der Punkt, an dem die meisten Unternehmen nachbessern müssen. Eine allgemeine IT-Risikoliste reicht nicht, sie muss Cloud-Themen abdecken.
Cloud-spezifische Risikoanalyse
Mandantentrennung, Administratorzugriff, Ausfall eines Unterlieferanten und Datenverlust sind bewertet. Nachweis: Risikoregister mit Eintrittswahrscheinlichkeit, Auswirkung und Datum.
Risikobehandlung geplant
Für jedes erhebliche Risiko gibt es eine Massnahme mit Verantwortlichem und Termin. Nachweis: Massnahmenplan oder Ticketliste.
Kompetenz der Administratoren
Wer mit privilegierten Rechten arbeitet, kennt die Cloud-Vorgaben. Nachweis: Schulungsliste, Onboarding-Checkliste, Zertifikate der Fachpersonen.
Dokumente gelenkt
Richtlinien sind versioniert, freigegeben und für Mitarbeitende auffindbar. Nachweis: Dokumentenregister oder Änderungshistorie im Wiki.
04: Klausel 8
Betrieb: Die Cloud-Kontrollen im Alltag
Klausel 8 ist der Teil, den Kunden im Audit am genauesten ansehen. Hier zeigt sich, ob die Regeln aus den Richtlinien im Betrieb ankommen.
- Mandantentrennung und Datenisolierung
- Daten verschiedener Kunden sind logisch oder physisch getrennt. Nachweis: Architekturdiagramm, Netzwerksegmentierung, Testbericht zur Isolation.
- Administratorzugriff
- Privilegierte Konten sind begrenzt, mit Mehrfaktor-Authentisierung gesichert und protokolliert. Nachweis: Rollenkonzept, Konfigurationsauszug, Zugriffsprotokolle.
- Virtualisierungssicherheit
- Hypervisor und virtuelle Maschinen sind gehärtet und gepatcht. Nachweis: Härtungsstandard, Patch-Berichte, Konfigurationsvorlagen.
- Rückgabe und Löschung von Kundendaten
- Bei Vertragsende werden Daten zurückgegeben und sicher gelöscht. Nachweis: Löschprozess, Vertragsklausel, Löschprotokoll eines abgeschlossenen Falls.
- Cloud-spezifische Incident Response
- Meldewege an Kunden und Fristen sind festgelegt. Nachweis: Incident-Prozess, Kontaktliste, Protokoll einer Übung oder eines echten Vorfalls.
- Überwachung der Dienste
- Ereignisse werden erfasst und ausgewertet, Kunden erhalten die für sie relevanten Informationen. Nachweis: Monitoring-Konfiguration, Beispielbericht.
05: Klauseln 9 und 10
Bewertung und Verbesserung: Was Sie regelmässig belegen
Diese Punkte werden oft vergessen, weil sie keine Technik betreffen. Sie zeigen aber, ob das System lebt oder nur einmal dokumentiert wurde.
| Klausel | Prüfpunkt | Typischer Nachweis |
|---|---|---|
| 9 | Interne Überprüfung der Cloud-Kontrollen | Auditplan, ausgefüllte Prüfliste, Ergebnisbericht |
| 9 | Bewertung durch die Geschäftsleitung | Sitzungsprotokoll mit Kennzahlen und Beschlüssen |
| 10 | Korrekturmassnahmen nach Abweichungen | Massnahmenliste mit Ursache, Frist und Abschlussdatum |
| 10 | Laufende Verbesserung | Änderungsprotokoll, aktualisierte Risikoanalyse |
Wer mindestens eine interne Überprüfung und eine Managementbewertung pro Jahr dokumentiert, erfüllt die Erwartung an diesen Teil.
06: Mit Zertify
Von der Checkliste zum ISO 27017 Zertifikat
Das Self-Assessment von Zertify umfasst 34 Ja/Nein-Fragen zu ISO 27017. 12 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 22 Fragen brauchen Sie mindestens 15 Ja-Antworten. Ihre Checkliste liefert dafür die Grundlage: Was Sie hier belegen können, beantworten Sie dort mit Ja.
Das Zertifikat wird von der G6 Agency AG unter Lizenz von SICE ausgestellt. SICE prüft jedes Assessment, bevor das Zertifikat erteilt wird. Nach bestandenem Assessment und Zahlung liegt es innerhalb von 4 Stunden vor, mit Zertifikatsnummer und QR-Code auf dem PDF. Einkäufer prüfen es auf der öffentlichen Verifizierungsseite.
Das Zertifikat kostet 799 CHF im ersten Jahr, danach 529 CHF pro Jahr inklusive der jährlichen Online-Rezertifizierung. Es gilt 3 Jahre. Ein Vor-Ort-Audit findet nicht statt. Den Unterschied zum klassischen Weg über eine Zertifizierungsstelle erklärt der Ratgeber zur Zertifizierung ohne Audit.
07: FAQ
Häufige Fragen zur ISO 27017 Checkliste
08: Ratgeber
Weiterführende Seiten
Prüfen Sie, ob Ihr Unternehmen bereit ist
Beantworten Sie 34 Fragen zu ISO 27017 und sehen Sie sofort, wo Sie stehen.
Kostenlos und ohne Registrierung.