ISO 27017 Cloud-Sicherheit
ISO 27017 für Finanzbranche: Cloud-Sicherheit nachweisen
Banken, Vermögensverwalter, Versicherer und Fintechs lagern Kundendaten in die Cloud aus und verlangen von ihren Dienstleistern einen Nachweis. ISO 27017 liefert ihn für die Cloud-Sicherheit. Mit Zertify beantworten Sie 34 Fragen online und erhalten das Zertifikat innerhalb von 4 Stunden nach bestandener Beurteilung und Zahlung.
01: Nachfrage
Warum verlangen Finanzkunden ISO 27017?
Mit jedem Cloud-Dienst gibt ein Finanzunternehmen Daten aus der Hand: Kontoangaben, Depotpositionen, Policen, Kopien von Ausweisen. Die Verantwortung für diese Daten bleibt trotzdem beim Unternehmen. Darum prüft der Einkauf einen Anbieter, bevor er ihn freigibt.
In Lieferantenfragebogen und Ausschreibungen steht dann die Frage, wie der Anbieter seine Cloud absichert. Ein Zertifikat nach ISO 27017:2015 beantwortet sie mit einem Dokument, das sich öffentlich verifizieren lässt. Der Standard ergänzt ISO 27001 und ISO 27002 um Kontrollen, die erst in der Cloud relevant werden.
Für Sie als Anbieter heisst das: Wer das Zertifikat vorlegen kann, spart sich bei jeder Anfrage die lange Erklärung und gelangt schneller in die engere Auswahl.
02: Risiken
Welche Risiken der Finanzbranche deckt der Standard ab?
ISO 27017 klärt, wer in der Cloud welche Sicherheitsaufgabe übernimmt. Für Finanzdaten sind diese sechs Punkte besonders greifbar:
- Mandantentrennung
- Mehrere Banken oder Vermögensverwalter teilen sich eine Plattform. Die Portfolio- und Kontodaten jedes Kunden dürfen für die anderen nie sichtbar sein.
- Administratorzugriff
- Support-Mitarbeitende des Anbieters können technisch auf Systeme zugreifen. Der Standard verlangt, dass dieser Zugriff beschränkt, nachvollziehbar und geregelt ist.
- Shared Responsibility
- Bei einer SaaS-Lösung für die Buchhaltung oder Kundenverwaltung muss feststehen, was der Anbieter absichert und was das Finanzunternehmen selbst tun muss, etwa Benutzerrechte vergeben.
- Datenrückgabe und Löschung
- Kündigt ein Versicherer seinen Cloud-Dienst, muss klar sein, in welchem Format er die Daten zurückerhält und wann sie beim Anbieter sicher gelöscht werden.
- Virtualisierung
- Virtuelle Maschinen für Handels- oder Abrechnungssysteme laufen auf gemeinsamer Hardware. Die Trennung zwischen den Umgebungen muss technisch abgesichert sein.
- Vorfallmeldung
- Wird beim Anbieter ein Sicherheitsvorfall festgestellt, brauchen die betroffenen Kunden eine definierte Meldung, damit sie ihre eigenen Pflichten rechtzeitig prüfen können.
03: Praxis
Wie erfüllt ein Finanzunternehmen die Kernanforderungen?
Die Tabelle zeigt, wie die Kernanforderungen im Alltag eines kleinen Finanzdienstleisters aussehen können. Es sind Beispiele, keine Vorgaben.
| Anforderung | Beispiel aus der Praxis |
|---|---|
| Cloud-spezifische Risikoanalyse | Ein Vermögensverwalter bewertet vor dem Wechsel zu einer Cloud-Portfoliosoftware, welche Kundendaten dort liegen und was bei einem Ausfall passiert. |
| Verantwortlichkeiten definieren | Eine Tabelle hält fest, dass der Anbieter die Infrastruktur betreibt, während die Finanzfirma Benutzerkonten und Rollen verwaltet. |
| Datenisolierung und Mandantentrennung | Ein Fintech betreibt für jeden Bankkunden eine eigene Datenbank und prüft die Zugriffsrechte regelmässig. |
| Sichere Löschung von Kundendaten | Nach Vertragsende löscht der Anbieter die Daten innerhalb einer vereinbarten Frist und bestätigt dies schriftlich. |
| Virtualisierungssicherheit | Test- und Produktivumgebung der Abrechnungssoftware laufen getrennt und werden mit gehärteten Images aufgesetzt. |
| Cloud-spezifische Incident Response | Ein Notfallplan nennt Ansprechpersonen beim Cloud-Anbieter und legt fest, wann Kunden informiert werden. |
Sie müssen kein Beispiel eins zu eins übernehmen. Entscheidend ist, dass Sie jede Frage im Assessment aufrichtig mit Ja beantworten können.
04: Zielgruppe
Cloud-Anbieter oder Cloud-Nutzer: Wer braucht das Zertifikat?
Am häufigsten fragen Finanzunternehmen bei Anbietern nach: Softwarehäuser mit SaaS-Lösungen für Banken und Versicherer, Hosting-Anbieter, Managed Service Provider und Betreiber von Rechenzentren. Für sie ist das Zertifikat ein Anhang für Offerten und Fragebogen, den der Einkauf des Kunden abhaken kann.
Auch ein Finanzunternehmen, das selbst Cloud-Dienste einsetzt, kann den Standard nutzen. Es dokumentiert damit, welche Aufgaben es an den Anbieter abgibt und welche es selbst behält. Das hilft bei der Antwort, wenn ein Revisor oder ein Grosskunde nach der Cloud-Nutzung fragt.
Wer ISO 27001 bereits kennt, findet viele Themen wieder. ISO 27017 geht aber gezielt auf die Verteilung der Aufgaben zwischen Anbieter und Kunde ein.
05: Mit Zertify
So erhalten Sie das ISO-27017-Zertifikat mit Zertify
Zertify arbeitet mit einer Selbstbeurteilung online. Es gibt keinen Vor-Ort-Audit und zum Kauf kein Kundenkonto. Das Zertifikat stellt die G6 Agency AG im Rahmen einer Lizenz der SICE aus, und die SICE prüft jedes Assessment, bevor das Zertifikat erteilt wird.
Selbstbeurteilung starten
Sie beantworten 34 Ja/Nein-Fragen zu ISO 27017. Der Start ist kostenlos.
Bestehen
12 Fragen sind zwingende Anforderungen des Standards und müssen alle mit Ja beantwortet sein. Bei den übrigen 22 Fragen braucht es mindestens 15 Ja.
Bezahlen
Nach bestandener Beurteilung bezahlen Sie online. Das Zertifikat liegt innerhalb von 4 Stunden vor.
Nachweis nutzen
Das PDF trägt eine Zertifikatsnummer und einen QR-Code. Ihr Kunde prüft damit auf der öffentlichen Verifikationsseite, ob das Zertifikat echt ist.
Das Zertifikat kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive kurzem Online-Re-Audit. Es gilt 3 Jahre. Das Abonnement verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Kunden in der Schweiz und in Liechtenstein zahlen den Preis inklusive 8,1 % MWST. Wer mehrere Standards kombiniert, erhält 20 % Rabatt bei zwei und 30 % bei drei oder mehr Standards, auch auf die jährliche Gebühr.
Wie sich dieser Weg von der klassischen Zertifizierung mit Audit vor Ort durch eine Zertifizierungsstelle unterscheidet, lesen Sie im Vergleich der Wege.
06: FAQ
Häufige Fragen zu ISO 27017 in der Finanzbranche
07: Leitfaden
Verwandte Seiten
Cloud-Sicherheit für Ihre Finanzkunden belegen
Beantworten Sie die 34 Fragen zu ISO 27017 und sehen Sie sofort, ob Sie bestehen.
Kostenlos und ohne Registrierung.