服务

ISO 27017

ISO 27017 不是独立的认证，而是一部实践准则，它以针对云服务的指导扩展了 ISO 27001 的控制措施，适用于关系的双方：云服务提供商和使用这些服务的客户。如果您已经在运行 ISO 27001 信息安全管理体系，并且在云上运营或高度依赖云，27017 会补上基础标准没有直接涉及的空白。

它新增的控制措施专门针对在云环境中容易变得模糊的事项：提供商与客户共享基础设施时各自负责什么，租户之间的数据究竟如何隔离，终止云服务时您的数据和访问权限会怎样，以及虚拟化环境如何得到保护和监控。

为什么它的意义不止于文书工作

许多云安全事件都可以追溯到 27017 旨在消除的那种模糊性：对谁负责打补丁、谁负责正确配置存储桶的某种想当然。认真逐项走完这项标准，意味着这些责任会被写下来并经过测试，而不是被想当然。

我会怎么做

如果您已经通过 ISO 27001 认证，这就是针对云专属控制措施的有针对性的差距分析，而不是推倒重来。如果您还完全没有认证，通常更合理的做法是把 27001 和 27017 的云控制措施一并建设，而不是日后再把其中一个叠加到另一个上。无论哪种情况，目标都是反映您的云环境实际运作方式的控制措施，即您特定的提供商、您特定的架构，而不是一份技术上能通过审核的通用清单。

如果贵组织的云安全职责更多是想当然而不是有文件记录，这值得解决。我们来谈谈您目前的状况。