ISO 27017: Controles de seguridad para servicios en la nube

ISO 27017

La norma ISO 27017 proporciona controles para proveedores y clientes de servicios en la nube. A diferencia de muchas otras normas relacionadas con la tecnología, la norma ISO 27017 aclara las funciones y las responsabilidades para ayudar a que los servicios en la nube sean tan seguros como el resto de los datos incluidos en un Sistema de Gestión de la Información certificado.

La norma ISO 27017 proporciona una guía con 37 controles en la nube basados en ISO 27002. Además, ofrece siete nuevos controles en la nube que tratan los siguientes puntos:

• Quién es el responsable de lo que sucede entre el proveedor del servicio y el cliente
• La eliminación de activos cuando un contrato se resuelve
• Protección y separación del entorno virtual del cliente
• Configurar una máquina virtual
• Operaciones y procedimientos administrativos relacionados con el entorno en la nube
• Seguimiento de la actividad de clientes en la nube
• Alineación del entorno de la red virtual y en la nube

Si trabaja para un proveedor de servicios en la nube o está buscando trasladar su negocio en la nube, es importante que conozca cómo funciona la norma ISO 27017. Para ayudarle a entender las áreas principales de la norma, es necesario conocer más sobre los siete nuevos controles, y como las empresas se pueden beneficiar.

¿Cómo se beneficiará un proveedor de servicios en la nube de la certificación ISO 27017?

• Inspira confianza en su negocio: proporciona una mayor seguridad a clientes y partes interesadas de que los datos y la información sean protegidos.
• Ventaja competitiva: demuestra que existen sistemas de control sólidos para proteger sus datos puestos en marcha.
• Protege su reputación de marca: reduce el riesgo de publicidad negativa debido a las violaciones de datos.
• Protege contra las multas: garantiza que las normas locales se cumplan, lo cual implica una reducción del riesgo de multas por violaciones de datos.
• Ayuda a crecer a su negocio: proporciona pauta comunes en diferentes países, que facilita el hacer negocios a nivel mundial y acceder como “proveedor preferente”.

¿Cómo se benefician los clientes de servicios en la nube de la formación en ISO 27017?

La norma ISO 27017 es una norma de tecnología única, ya que proporciona tanto los requisitos para el cliente como para el proveedor del servicio en la nube. Los gerentes de TI del departamento técnico responsables de mover a las empresas a la nube o de la ampliación de un contrato de servicio en la nube, puede reducir los riesgos de su negocio asegurándose de que entienden sus responsabilidades y toman las mejores decisiones en torno a su elección de proveedor.

La norma ISO 27017, relativa a la seguridad de los servicios en la nube, es un código de conducta coherente con la norma ISO 27002. Sirve de complemento a esta última norma y establece buenas prácticas de seguridad en el marco de los servicios en la nube. Se especifican las posibles consideraciones relativas a estos servicios en la nube. Aunque los expertos en seguridad y calidad pueden adoptar la norma rápidamente.

La norma ISO 27017 no solo se centra en los proveedores de servicios en la nube, sino también en la seguridad del conjunto de estos servicios. También se tiene en cuenta el punto de vista del cliente. Dichas exigencias adicionales permiten estandarizar todas las relaciones entre el cliente y el proveedor de servicios en la nube.

La norma ISO 27001 expone la importancia de la comunicación entre una empresa y sus clientes a la hora de definir ciertos procesos de gestión de seguridad adaptados. La norma ISO 27001 es generalista, pues se aplica a cualquier tipo de entidad. Sin embargo, la norma ISO 27017 enmarca con precisión las relaciones entre el cliente y el proveedor de servicios en la nube. La norma establece que es lo que el cliente debe exigirle a un proveedor y qué información debe proporcionar este último. Una relación entre cliente y proveedor conforme con la ISO 27017 garantiza que se tengan en cuenta todos los aspectos clave de la seguridad durante la gestión del servicio

El proveedor

El proveedor de servicios en la nube debe proporcionar información a los clientes sobre la arquitectura, la tecnología utilizada, las medidas de seguridad adoptadas y las funcionalidades disponibles.

El proveedor también debe establecer el lugar que ocupa para el cliente en estos procedimientos operativos y en la gestión de modificaciones, actualizaciones o incidentes. De forma general, la norma incide en la importancia de definir de forma clara el papel y las responsabilidades del cliente y el proveedor en materia de seguridad.

La norma ISO 27001 permite estandarizar las relaciones entre los clientes y los proveedores de servicios en la nube mediante un modelo de análisis e intercambio común, facilitando la gestión.

Software ISO 27001

La herramienta ofrecida por el Software ISOTools Excellence para la norma ISO 27001 con el objetivo de implementar en la organización el Sistema de Gestión de Seguridad de la Información, está capacitada para responder a numerosos controles para el tratamiento de la información gracias a las aplicaciones que contiene y que son totalmente configurables según los requerimientos de cada organización.