ISO/IEC 27017是什么？

ISO/IEC 27017简称“云服务信息安全认证”。

ISO/IEC 27017是有关《信息技术 - 安全技术 – 基于ISO/IEC 27002的云服务信息安全控制的实施规程》的国际标准。该标准提供了适用于提供和使用云服务的信息安全控制指南，包括如下方面：

① ISO/IEC 27002标准中有关控制的附加实施指南。

② 带有具体涉及云服务实施指南的附加控制。

ISO/IEC 27017的适用性

ISO27017认证适用于云服务提供商和云服务客户。

ISO27017与ISO27k系列标准之间的关系

ISO27017是基于ISO27001的增强版本，旨在为云服务提供商和云服务客户提供增强的控制能力，从而有助于让云服务与传统信息系统一样安全可靠。

ISO/IEC 27017标准阐明了云服务提供商和云服务客户双方在帮助确保云服务安全可靠方面所扮演的角色和所承担的责任。

ISO/IEC 27017标准不仅提供了ISO/IEC 27002标准中37个控制基于云服务的指导方针，而且还介绍了7个全新的云服务控制措施，以解决以下问题：

• 负责云服务提供商和云客户之间关系的人是谁

• 当合同终止时，资产的移除/归还

• 客户虚拟环境的保护和分离

• 虚拟机配置

• 与云环境相关的管理操作和程序

• 云客户监控云中活动

• 虚拟和云网络环境的对接

ISO 27017和ISO 27018都是基于ISO27002标准，并针对适用于公有云个人可识别信息(PII)的ISO27002控制体系提供了实施指南。两个标准都是基于ISO27001延伸。

ISO 27017 提出比较多的改变安全控制。

ISO 27018 则是提出比较多新增安全控制。

ISO27001因为是基础的规范，所以在进行ISO27017 or ISO27018之前，必须先经过基本的ISO27001认证。

基于ISO27001认证基础下，可增加的认证包括：

ISO27017: 云端对于个人隐私数据的产生、储存、管理、通知、消除、加密、传输等处理；

ISO27018 : 如果公司预计提供云服务，相关云端维运的安全控制措施；

ISO27040 : 网络空间安全，针对提供互联网服务的企业；

ISO27032 : 规划、设计、记录和实施数据存储安全性，为组织如何定义适当的风险缓解水平提供详细的技术指导，是管理数据存储安全的最高执行性标准之一。其存储安全性适用于存储信息的保护（安全性）以及通过与存储相关的通信链路传输的信息安全。

从客户服务来看，ISO27001是业内最基础的信息安全认证，容易得到大众客户的认可。

从信息安全来看，ISO27017 / ISO27018 / ISO27040 / ISO27032更侧重于细分领域的安全管控措施。

ISO/IEC 27017认证收益

1）增强外部信任 —— 让您的客户和利益相关者对其个人数据和信息的安全性更加放心；

2）提高竞争优势 —— 通过最大限度地保护个人信息，让您从竞争对手中脱颖而出；

3）保护品牌声誉 —— 降低因数据泄露引发的负面宣传风险；

4）降低风险 —— 确保风险被识别，并采取控制措施来管理或降低风险；

5）防止罚款 —— 确保遵守当地法规，减少数据泄露的罚款风险；

6）助力企业发展 —— 提供覆盖不同国家/地区的通用准则，为在全球范围内开展业务和获得作为首选供应商的机会提供便利性。

擎标神盾局可提供如下服务：

1）提供基于国际最新标准的中文译著，其中多数为业内首发版，包括：

《ISO22301:2019 业务连续性管理体系 要求》

《ISO27701:2019 隐私信息管理体系》

《ISO27018:2019 公有云中的个人身份信息（PII）保护实施规则》

《ISO27032:2012 网络空间安全指南》

《ISO27040:2015 信息技术-安全技术-存储安全》

《ISO29100:2011 隐私框架》

《ISO29134:2017 隐私影响评估指南》

《ISO29151:2017 个人身份信息保护实践指南》

2）由AICF亚洲智能计算基金会授信的《GDPR符合性评估报告》

3）ISO27018/ISO27701/ISO29151 标准简介/内审员培训

4）ISO27018/27701/ISO29151 隐私原则解读