熱線：
Q Q：ISO/IEC27017標準與ISO/IEC27002標準的差異
發(fā)布時間：2021-01-06 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
ISO/IEC27017標準提供了ISO/IEC27002中的37項控制指導及ISO/IEC27002未涉及的7個新控制方面。
CLD.6.3.1:客戶和供應商之間就共同或單獨責任達成協(xié)議，以清晰定義、記錄和溝通與云服務相關(guān)的信息安全角色。
CLD.8.1.5:明確當客戶和供應商之間的合同/協(xié)議終止時，應如何將資產(chǎn)從云端退回或轉(zhuǎn)移。
CLD.9.5.1:供應商必須保護客戶的虛擬環(huán)境并將其與其他客戶和外部各方的環(huán)境分離。
CLD.9.5.2:客戶和供應商必須確保對虛擬機進行配置和增強，以滿足組織的需求。
CLD.12.1.5:客戶有責任定義、記錄和監(jiān)控與云環(huán)境相關(guān)的管理運營和程序，在客戶需要時，CSP要共享關(guān)于重要運營和程序的文檔。
CLD.12.4.5:供應商的能力將如何支持客戶有效監(jiān)控云計算環(huán)境中的活動。
CLD.13.1.4:應進行一致性配置，從而使虛擬網(wǎng)絡環(huán)境符合物理網(wǎng)絡的信息安全政策。
角色與責任
角色、涉及問題（如數(shù)據(jù)所有權(quán)、訪問控制和基礎設施維護等）責任定義及責任分配的模糊不清，可能引起業(yè)務或法律糾紛；尤其在涉及第三方的情況下。正如該標準所規(guī)定：
“云服務使用過程中，云服務供應商系統(tǒng)所創(chuàng)建或修改的數(shù)據(jù)和文件可能對于確保服務運營、恢復和連續(xù)性至關(guān)重要。資產(chǎn)所有權(quán)以及對于這些資產(chǎn)相關(guān)的操作（例如，備份和恢復操作）承擔責任的各方應當被定義和記錄。否則，將會存在云服務供應商假設云服務客戶執(zhí)行了這些重要任務（反之亦然）的風險，并且可能發(fā)生數(shù)據(jù)丟失。”
安全控制
該標準不僅只是劃分責任，還具有下列優(yōu)勢:ISO/IEC27017更詳細地定義了供應商應當實施安全控制的類型，這有助于減少云技術(shù)采用的障礙。
ISO/IEC27017為云服務供應商提供了一種方法以表明已實施控制的級別。這意味著有記錄的證據(jù)—由獨立來源（例如，針對某些標準的認證）支持—可證明已實施適當?shù)恼?，最重要的是，已引入哪些類型的控制。在合同簽署前，應當與云客戶共享此信息，以規(guī)避未來可能出現(xiàn)的任何潛在問題。
在無法進行獨立審核或者可能對信息安全構(gòu)成更大風險的情況下，這一標準為CSP提供了選項以進行自評估。如果出現(xiàn)這種情況，CSP須告知客戶已進行自評估。
密碼保護
該標準還包含針對所采用密碼保護的指導原則，適用于客戶和供應商，因雙方在此方面均承擔責任。供應商應當告知客戶如何使用密碼保護，并幫助客戶應用自身的那些保護措施。與此同時還應當慮到特殊情況，例如健康數(shù)據(jù)，因其可能涉及其他一些監(jiān)管指導原則。
客戶也應當坦誠告知其所使用的密碼保護類型—如果風險分析表明有必要，他們應當采用密碼保護。實際上，正因為存在爭議或誤解，才更需要標準。
雙方不僅應當彼此確保網(wǎng)絡被有效保護，還應當能夠確保兩個系統(tǒng)之間的兼容性。重要的是，應當確定這些控制是適用于存儲的數(shù)據(jù)、傳輸?shù)臄?shù)據(jù)，或兩者均用，因此處以往常常被誤解。
客戶關(guān)系
該標準對要求進行了拓展，不僅僅局限于技術(shù)，還為培訓確立了知道原則。對于云服務供應商提供的基礎設施，許多客戶表示滿意，若要進一步支持，則略顯擔憂。
因為畢竟有大量證據(jù)表明，員工往往是組織安全措施中的薄弱環(huán)節(jié)?？蛻舨粌H需要擔憂存在缺陷的安全設備，而且還要擔心員工是否遵循了所有適當?shù)拇胧?。此新標準不僅規(guī)定供應商應當讓員工和承包商增強意識并為其提供相關(guān)培訓，還規(guī)定培訓應當涵蓋監(jiān)管要求、客戶訪問以及特定要求。
資產(chǎn)所有權(quán)
云資產(chǎn)歸誰所有可能是另一外一個混淆點。該標準建議應當建立云儲存資產(chǎn)清單，并且還重新提及了ISO/IEC27002中所規(guī)定的針對資產(chǎn)所有權(quán)、可接受的資產(chǎn)使用及退還的指導原則信息。
新標準明確了安全處理客戶資產(chǎn)的參數(shù)，從而使敏感數(shù)據(jù)不會被簡單地“丟棄”于虛擬回收站中。
如您想更詳細的了解ISO27017標準，需要ISO27017標準，請您網(wǎng)絡搜索廣匯聯(lián)合，快人一步，成就管理者風范。
