ISO 27017 für IT-Branche: Cloud-Sicherheit belegen, ohne Vor-Ort-Audit

Wer Software betreibt, Server hostet oder fremde IT verwaltet, hat Zugriff auf Daten seiner Kunden. Diese Kunden müssen ihrerseits belegen, dass ihre Lieferanten sorgfältig arbeiten. Die Frage nach der Cloud-Sicherheit landet deshalb bei Ihnen.

ISO 27017 liefert dafür eine gemeinsame Sprache. Der Standard beschreibt Sicherheitskontrollen für Cloud-Dienste und trennt sauber zwischen den Aufgaben des Anbieters und denen des Kunden. Ein Zertifikat gibt der Gegenseite einen Anhaltspunkt, ohne dass sie Ihre Infrastruktur selbst prüfen muss.

Die Frage taucht an wiederkehrenden Stellen auf:

1. 01

   Lieferantenfragebogen

   Der Einkauf eines Grosskunden fragt nach Mandantentrennung, Administratorzugriff und Löschung von Daten. Mit einem Zertifikat beantworten Sie mehrere Fragen mit einem Verweis.

2. 02

   Ausschreibung

   Bei Cloud-Projekten steht ein Sicherheitsnachweis oft unter den Eignungskriterien. Fehlt er, kommt Ihre Offerte gar nicht in die Bewertung.

3. 03

   Partnerprogramm

   Plattformanbieter und Systemhäuser prüfen, ob Reseller und Integratoren ihre Dienste sicher betreiben.

4. 04

   Kundenaudit

   Ein Kunde kündigt ein Audit an. Mit einem überprüfbaren Zertifikat beginnt das Gespräch auf einer geklärten Grundlage.

ISO 27017 konzentriert sich auf Risiken, die erst durch die Cloud entstehen. Mehrere Kunden teilen sich dieselbe Plattform, Administratoren greifen aus der Ferne zu, Daten liegen auf Systemen, die der Kunde nie sieht. Die folgende Tabelle zeigt, wie das zusammenhängt.

Die sechs Kernanforderungen lassen sich in einem Unternehmen mit zehn oder mit zweihundert Mitarbeitenden umsetzen. Was sich unterscheidet, ist der Umfang der Dokumentation, nicht die Logik. Je nach Geschäftsmodell sehen die Massnahmen so aus:

Cloud-spezifische Risikoanalyse

Ein Softwarehaus mit SaaS-Produkt listet auf, was bei einem Ausfall des Cloud-Anbieters, einer Fehlkonfiguration oder einem kompromittierten Admin-Konto passieren kann, und bewertet jedes Risiko.

Shared Responsibility

Ein IT-Dienstleister ergänzt Verträge und Servicebeschreibungen um eine Aufgabenverteilung: Wer sichert Daten, wer verwaltet Zugänge, wer meldet Störungen.

Mandantentrennung

Ein Hosting-Anbieter trennt Kunden auf Netz-, Speicher- und Anwendungsebene und dokumentiert, wie er die Trennung testet.

Sichere Löschung

Ein Managed Service Provider definiert, nach welcher Frist er Daten nach Vertragsende löscht, und führt darüber ein Protokoll.

Virtualisierungssicherheit

Ein Rechenzentrumsbetreiber härtet die Hypervisoren, beschränkt den Administratorzugriff und protokolliert jede Änderung.

Cloud-spezifische Incident Response

Ein Cloud-Anbieter regelt, wer einen Vorfall einstuft, wer Kunden benachrichtigt und welche Protokolle er sichert.

ISO 27017 ist ein Leitfaden mit Kontrollen für Cloud-Dienste. Er ergänzt ISO 27001 und ISO 27002 und ersetzt keinen der beiden Standards. ISO 27001 beschreibt das Managementsystem für Informationssicherheit insgesamt, ISO 27017 geht auf die Besonderheiten der Cloud ein.

Für IT-Unternehmen mit Cloud-Angebot kann beides relevant sein. Verlangt ein Kunde ausdrücklich Cloud-Sicherheit, liegt ISO 27017 näher. Wollen Sie die gesamte Informationssicherheit belegen, gehört ISO 27001 dazu. Beide Zertifikate können Sie bei Zertify kombinieren, mit Rabatt auf Erstjahr und Jahresgebühr.

Ob eine Zertifizierung ohne Vor-Ort-Audit für Ihre Kunden ausreicht, hängt von deren Vorgaben ab. Den Vergleich der Wege finden Sie im Leitfaden.

• ISO 27001 ansehen
• Zertifizierungswege vergleichen

Sie beantworten online 34 Ja-Nein-Fragen zu ISO 27017. Zwölf davon sind verbindliche Anforderungen des Standards und müssen alle mit Ja beantwortet werden. Von den übrigen 22 Fragen brauchen Sie mindestens 15 Ja-Antworten. Ein Konto ist für den Kauf nicht nötig.

SICE prüft jede Selbstbewertung, bevor das Zertifikat ausgestellt wird. Das Zertifikat stellt die G6 Agency AG im Rahmen einer Lizenz von SICE aus. Nach bestandener Prüfung und Zahlung erhalten Sie es innerhalb von 4 Stunden als PDF mit Zertifikatsnummer und QR-Code.

Die Kosten betragen 799 CHF im ersten Jahr, danach 529 CHF pro Jahr inklusive der jährlichen Online-Rezertifizierung. Das Zertifikat gilt 3 Jahre. Das Abo verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Dann endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MwSt. im Preis enthalten.

Ihr Kunde prüft das Zertifikat öffentlich auf der Verifizierungsseite, per Nummer oder QR-Code. Eine Rückfrage bei Ihnen ist nicht nötig.

• Standardseite ISO 27017
• Preise im Überblick
• Kostenlose Selbstbewertung starten