ISO 27017 – Ασφάλεια στην παροχή και χρήση Cloud υπηρεσιών

Ολοένα και περισσότερες επιχειρήσεις αποφασίζουν να μεταφέρουν μέρος των λειτουργιών τους στο Cloud. Χωρίς αμφιβολία, οι υπηρεσίες Cloud διαθέτουν μία σειρά από χαρακτηριστικά που τις καθιστούν ιδιαίτερα ελκυστικές, όπως είναι η ευκολία πρόσβασης, η αυξημένη διαθεσιμότητα και η μείωση του κόστους λειτουργίας. Από την άλλη πλευρά, οι οργανισμοί που χρησιμοποιούν τέτοιες υπηρεσίες (cloud customers) θα πρέπει να εντοπίζουν τους κινδύνους που ενέχει η αποθήκευση κρίσιμων πληροφοριών στις υποδομές του παρόχου (cloud provider) και να εφαρμόζουν τους απαραίτητους μηχανισμούς ασφάλειας.
Το πρότυπο ISO 27017 προσδιορίζει τους απαραίτητους μηχανισμούς ελέγχου για την αντιμετώπιση των κινδύνων Ασφάλειας Πληροφοριών που σχετίζονται με την παροχή ή τη χρήση υπηρεσιών Cloud. Απευθύνεται σε οργανισμούς που θέλουν να αναπτύξουν και να προσφέρουν ή να χρησιμοποιήσουν υπηρεσίες Cloud, δηλαδή τόσο στους “cloud providers” όσο και στους “cloud customers”.
Όπως υποδηλώνει και ο τίτλος του ISO 27017 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services), αυτό το πρότυπο ασφάλειας έχει στηριχτεί στο ISO 27002, τον ερμηνευτικό οδηγό για το διεθνώς αναγνωρισμένο και πιστοποιήσιμο πρότυπο ISO 27001. Έχει την ίδια δομή με το ISO 27002 και επιπροσθέτως παρέχει:
Α. Οδηγίες υλοποίησης τριανταεπτά μηχανισμών ελέγχου του προτύπου ISO 27002 για υπηρεσίες Cloud, με ιδιαίτερη έμφαση σε θέματα λογικών προσβάσεων
Β. Εξειδικευμένους μηχανισμούς ασφάλειας για υπηρεσίες Cloud, οι οποίοι καλύπτουν επτά πρόσθετες περιοχές ελέγχου:
1) Διαμοιρασμός ρόλων και ευθυνών στο περιβάλλον Cloud
2) Αφαίρεση και επιστροφή των πόρων μετά τον τερματισμό της χρήσης υπηρεσιών Cloud
3) Διαχωρισμός σε εικονικά υπολογιστικά περιβάλλοντα
4) Ενίσχυση της ασφάλειας εικονικών διακομιστών
5) Ασφάλεια σε σχέση με τις ενέργειες των διαχειριστών
6) Παρακολούθηση υπηρεσιών Cloud
7) Ευθυγράμμιση της διαχείρισης ασφάλειας μεταξύ εικονικών και φυσικών δικτύων.
H PRIORITY, έχοντας στο ενεργητικό της την υλοποίηση σύνθετων και απαιτητικών έργων ανάπτυξης Συστημάτων Διαχείρισης Ασφάλειας Πληροφοριών, μπορεί να βοηθήσει επιχειρήσεις ή οργανισμούς που θέλουν να αναπτύξουν ή να χρησιμοποιήσουν Cloud υπηρεσίες να διαμορφώσουν ένα πλαίσιο λειτουργίας, βασιζόμενο στα πρότυπα ISO 27017 και ISO 27001, που θα εγγυάται την ασφαλή παροχή ή χρήση των υπηρεσιών αυτών.