Cloud-Sicherheit für Dienstleister
ISO 27017 für Dienstleister: Cloud-Nachweis online erhalten
Wenn Ihre Kunden Daten bei Ihnen in der Cloud ablegen, verlangt deren Einkauf einen Nachweis. ISO 27017 belegt, dass Sie die Sicherheit von Cloud-Diensten geregelt haben. Mit Zertify beantworten Sie dafür eine Selbstbeurteilung online, ohne Audit vor Ort.
01: Nachfrage
Warum Kunden und Ausschreibungen ISO 27017 verlangen
Dienstleister halten fremde Daten. Eine Treuhandfirma verwaltet Buchhaltungen in einer Cloud-Lösung, eine Agentur betreibt die Webshops ihrer Kunden, ein IT-Dienstleister administriert deren Server. In jedem dieser Fälle will die Gegenseite wissen, wie ihre Daten geschützt sind.
Meist kommt die Frage als Lieferantenfragebogen. Wo liegen die Daten? Wer hat Administratorzugriff? Was geschieht bei Vertragsende mit den Kundendaten? Ein Zertifikat nach ISO 27017 beantwortet diese Punkte in einem Dokument, auf das Sie in Offerten und Fragebogen verweisen.
In Ausschreibungen erscheint der Nachweis als Eignungskriterium oder als Pluspunkt bei der Bewertung. Ob er gefordert ist, steht in den jeweiligen Unterlagen. Lesen Sie diese Stelle genau, bevor Sie sich für einen Weg entscheiden.
ISO 27017:2015 ist ein Leitfaden mit Sicherheitskontrollen für Cloud-Dienste. Er ergänzt ISO 27001 und ISO 27002 und richtet sich an Anbieter wie an Nutzer von Cloud-Diensten.
02: Risiken
Welche Risiken des Dienstleisteralltags ISO 27017 regelt
Der Standard dreht sich um eine Frage: Wer übernimmt welche Sicherheitsaufgabe? Bei Dienstleistern ist die Antwort selten selbstverständlich, weil sie gleichzeitig Kunde ihres Hosting-Anbieters und Anbieter für ihre eigenen Kunden sind.
- Mandantentrennung
- Eine Agentur betreibt mehrere Kundenwebsites auf derselben Infrastruktur. Ein Fehler in einem Projekt darf nie Daten eines anderen Kunden sichtbar machen.
- Administratorzugriff
- Support-Mitarbeitende greifen für Wartungsarbeiten auf Kundensysteme zu. Der Standard verlangt, dass dieser Zugriff begrenzt, nachvollziehbar und auf das Nötige beschränkt ist.
- Datenrückgabe und Löschung
- Ein Kunde kündigt den Vertrag. Sie müssen ihm seine Daten in nutzbarer Form übergeben und sie danach nachweislich von Ihren Systemen entfernen, auch aus Backups.
- Geteilte Infrastruktur
- Ein Managed Service Provider betreibt virtuelle Maschinen für viele Kunden auf gemeinsamer Hardware. Die Virtualisierungsschicht muss abgesichert und überwacht sein.
- Störungen bei Unterlieferanten
- Fällt das Rechenzentrum Ihres Hosting-Anbieters aus, stehen Ihre Kunden still. Sie brauchen einen Ablauf, der festlegt, wann und wie Sie Betroffene informieren.
03: Praxis
Wie ein Dienstleister die sechs Kernanforderungen erfüllt
Die Anforderungen klingen abstrakt. Im Betrieb eines Dienstleisters lassen sie sich mit wenigen, konkreten Dokumenten und Abläufen abdecken.
| Anforderung | Beispiel aus dem Dienstleisterbetrieb |
|---|---|
| Cloud-spezifische Risikoanalyse | Eine Liste Ihrer Dienste mit den Risiken, die durch Hosting bei Dritten, Fernzugriff und gemeinsame Plattformen entstehen. |
| Verantwortlichkeiten definieren (Shared Responsibility) | Ein Blatt pro Dienst, das festhält, was Ihr Hosting-Anbieter, was Sie und was der Kunde absichert. |
| Datenisolierung und Mandantentrennung | Getrennte Umgebungen oder Zugriffsrechte pro Kunde, regelmässig stichprobenartig geprüft. |
| Sichere Löschung von Kundendaten | Ein Offboarding-Ablauf mit Datenübergabe, Löschung und schriftlicher Bestätigung an den Kunden. |
| Virtualisierungssicherheit | Gehärtete Hypervisor-Konfiguration, getrennte Netze für Verwaltung und Kundenbetrieb, zeitnah eingespielte Updates. |
| Cloud-spezifische Incident Response | Ein Ablauf, der Meldewege zum Kunden und zum Unterlieferanten festlegt und Zuständigkeiten benennt. |
04: Vorbereitung
Was Sie vor der Selbstbeurteilung klären sollten
Wer diese vier Punkte schriftlich hat, beantwortet die Fragen ohne Suchen in alten Verträgen.
Dienste und Datenarten erfassen
Halten Sie fest, welche Leistungen Sie in der Cloud erbringen und welche Kundendaten dabei anfallen.
Unterlieferanten benennen
Notieren Sie, bei welchem Anbieter Ihre Systeme laufen und welche Sicherheitsaufgaben vertraglich bei ihm liegen.
Zugriffe dokumentieren
Legen Sie fest, wer auf Kundensysteme zugreifen darf, und wie Sie diese Zugriffe nachverfolgen.
Offboarding und Störfall beschreiben
Schreiben Sie auf, wie Sie Daten zurückgeben und löschen und wie Sie Kunden bei einem Sicherheitsvorfall informieren.
05: Mit Zertify
So kommen Sie mit Zertify zum Zertifikat ISO 27017
Die Selbstbeurteilung umfasst 34 Ja/Nein-Fragen. 12 davon sind verbindliche Anforderungen des Standards und müssen alle mit Ja beantwortet werden. Bei den übrigen 22 Fragen sind mindestens 15 Ja-Antworten nötig. Ein Konto brauchen Sie weder für die Beurteilung noch für den Kauf.
Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innert 4 Stunden. SICE prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird. Ausgestellt wird es von der G6 Agency AG unter Lizenz von SICE. Es kostet 799 CHF im ersten Jahr, danach 529 CHF pro Jahr inklusive der jährlichen Online-Rezertifizierung. Das Zertifikat gilt 3 Jahre.
Jedes Zertifikat trägt eine Nummer und einen QR-Code auf dem PDF. Ihr Kunde oder die Vergabestelle öffnet damit die öffentliche Prüfseite und sieht, dass das Zertifikat echt und gültig ist.
06: Prüfweg
Wann ein Kunde eine Prüfung vor Ort verlangt
Manche Kunden oder Vergabestellen schreiben vor, dass ein Audit vor Ort durch eine Zertifizierungsstelle stattfindet. Das ist der klassische Weg. Er dauert länger und ist mit Vorbereitung und Terminen verbunden.
Das Zertifikat von Zertify beruht auf einer Online-Selbstbeurteilung ohne Audit vor Ort. Ob es für Ihren Fall genügt, entscheidet der Empfänger. Fragen Sie vor der Offerte nach, was verlangt wird, und vergleichen Sie die Wege in Ruhe.
07: FAQ
Häufige Fragen zu ISO 27017 für Dienstleister
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, ob Ihr Betrieb ISO 27017 erfüllt
Die Selbstbeurteilung mit 34 Fragen zeigt Ihnen in wenigen Minuten, wo Sie stehen.
Kostenlos und ohne Registrierung.