ISO 27017
La norma ISO 27017 no es una certificación independiente, sino un código de buenas prácticas que amplía los controles de la norma ISO 27001 con directrices específicas para los servicios en la nube, y se aplica a ambas partes de la relación: los proveedores de servicios en la nube y los clientes que utilizan dichos servicios. Si ya cuenta con un sistema de gestión de la seguridad de la información conforme a la norma ISO 27001 y opera en la nube o depende en gran medida de ella, la norma 27017 cubre las lagunas que la norma básica no aborda directamente.
Los controles que añade se refieren específicamente a aspectos que pueden resultar confusos en entornos en la nube: quién es responsable de qué cuando un proveedor y un cliente comparten infraestructura, cómo se segregan realmente los datos entre los distintos usuarios, qué ocurre con sus datos y sus derechos de acceso cuando rescinde un servicio en la nube, y cómo se protegen y supervisan los entornos virtualizados.
Por qué esto es importante más allá del papeleo
Muchos incidentes de seguridad en la nube se remontan precisamente al tipo de ambigüedad que la norma 27017 pretende eliminar: una suposición sobre quién aplica los parches o quién es responsable de configurar correctamente un depósito de almacenamiento. Seguir adecuadamente la norma implica que esas responsabilidades se pongan por escrito y se comprueben, en lugar de darse por sentadas.
Cómo lo abordaría yo
Si ya cuenta con la certificación ISO 27001, se trata de un análisis específico de deficiencias en relación con los controles propios de la nube, no de una reconstrucción desde cero. Si aún no cuenta con ninguna certificación, suele tener más sentido desarrollar conjuntamente la norma ISO 27001 y los controles de la nube de la norma ISO 27017, en lugar de añadir unos a otros posteriormente. En cualquier caso, el objetivo es contar con controles que reflejen cómo funciona realmente su entorno en la nube —su proveedor específico, su arquitectura concreta— y no una lista de verificación genérica que, técnicamente, supere una auditoría.
Si en su organización las responsabilidades en materia de Seguridad en la nube se asumen más que se documentan, conviene subsanar esta situación. Analicemos juntos cuál es su situación actual.