ISO/IEC 27017.

Was ISO/IEC 27017 tatsächlich ergänzt

ISO/IEC 27017 ist kein eigenständiges Zertifizierungsschema. Es ist ein Leitfaden für die Praxis, der auf ISO/IEC 27002 aufsetzt, der Umsetzungsanleitung für die Maßnahmen von ISO/IEC 27001. Wo 27002 eine allgemeine Maßnahme zur Informationssicherheit beschreibt, ergänzt 27017 für dieselbe Maßnahme cloud-spezifische Umsetzungshinweise und führt an einigen Stellen zusätzliche Maßnahmen ein, die erst dann sinnvoll sind, wenn Ihre Daten auf einer Infrastruktur liegen, die Ihnen nicht gehört. Wenn Sie es also einführen, betreiben Sie kein paralleles ISMS. Sie erweitern jenes, das Sie bereits nach ISO 27001 zertifizieren, damit es die Sprache der Cloud spricht.

Der praktische Wert liegt darin, dass es beide Seiten der Cloud-Beziehung zwingt, Dinge schriftlich festzuhalten. Die Norm ist bewusst so aufgebaut, dass jeder Leitfadenpunkt eine Fassung für den Cloud-Diensteanbieter und eine für den Cloud-Dienstekunden hat. Diese doppelte Sichtweise ist der eigentliche Kern. Eine Maßnahme wie die Zugriffsverwaltung oder die Handhabung kryptografischer Schlüssel bedeutet etwas anderes, je nachdem, ob Sie der Hyperscaler sind, der die Plattform betreibt, oder der Mandant, der Workloads darauf bereitstellt, und 27017 macht diese Aufteilung ausdrücklich, statt sie der Annahme zu überlassen.

Geteilte Verantwortung, prüfbar gemacht

Jedes Gespräch über Cloud-Sicherheit landet irgendwann bei der geteilten Verantwortung: Der Anbieter sichert die Infrastruktur, der Kunde sichert das, was er darauf ablegt. Das Problem ist, dass sich die Grenze je nach Servicemodell verschiebt. Bei Infrastructure as a Service verantwortet der Kunde das Betriebssystem, das Patchen und den Großteil der Konfiguration. Bei Software as a Service liegt fast alles beim Anbieter, und dem Kunden bleiben im Wesentlichen Identität, Zugriff und Daten-Governance. ISO 27017 verwandelt dieses unscharfe Schaubild in etwas, das ein Auditor prüfen kann.

• Sie verlangt vom Anbieter zu dokumentieren, welche Sicherheitsverantwortungen er behält und welche er an den Kunden übergibt, damit keine stille Lücke entsteht.
• Sie verlangt vom Kunden zu bestätigen, dass er seinen Anteil versteht und tatsächlich umgesetzt hat, statt anzunehmen, dass der Anbieter ihn abdeckt.
• Sie ergänzt Hinweise speziell für mandantenfähige Umgebungen, die Härtung virtueller Maschinen, administrative Vorgänge und die Trennung von Kunden, die auf gemeinsam genutzter Hardware laufen.
• Sie behandelt die Entfernung und Rückgabe von Werten bei Vertragsende, also genau dort, wo viele Cloud-Ausstiege scheitern.

Wo sie neben ihren Nachbarn steht

27017 lässt sich leicht mit den umgebenden Normen verwechseln, daher hilft es, die Familie klar zu halten. ISO/IEC 27001 ist das zertifizierbare Managementsystem. ISO/IEC 27002 ist der allgemeine Maßnahmen-Leitfaden. ISO/IEC 27017 ist die Cloud-Sicherheitserweiterung dieses Leitfadens. ISO/IEC 27018 ist das Schwesternormwerk, das sich speziell auf den Schutz personenbezogen identifizierbarer Informationen in der öffentlichen Cloud konzentriert, was zählt, wenn Ihre Cloud-Workloads auch personenbezogene Daten tragen und Sie neben Sicherheits- auch Datenschutzpflichten erfüllen.

Für einen Praktiker ist der Ablauf einheitlich. Sie betreiben ein ISO-27001-ISMS, nehmen Cloud-Workloads in dessen Geltungsbereich auf und nutzen 27017, um zu entscheiden, welche Cloud-Maßnahmen Sie zuordnen und wie Sie beide Seiten der Verantwortungslinie nachweisen. Wenn diese Workloads auch personenbezogene Daten verarbeiten, kombinieren Sie es mit 27018. Keine dieser Normen ersetzt Ihre vertragliche Sorgfaltsprüfung beim Anbieter; sie geben Ihnen eine strukturierte Möglichkeit, nachzuweisen, dass Sie sie durchgeführt haben.