ISO 27017 Cloud

Définition

ISO/IEC 27017 est une norme internationale publiée conjointement par l'ISO et la CEI, qui étend et complète les recommandations génériques d'ISO 27002 en fournissant des lignes directrices spécifiques applicables aux environnements de services cloud, à la fois du point de vue du fournisseur de services cloud (CSP) et de son client. Contrairement à ISO 27001 qui constitue une norme certifiable définissant les exigences d'un système de management de la sécurité de l'information, ISO 27017 apporte des conseils d'implémentation additionnels et contextualisés au cloud pour un ensemble de 37 contrôles de sécurité, incluant les contrôles classiques d'ISO 27002 réinterprétés pour le contexte cloud ainsi que sept contrôles entièrement nouveaux propres à cet environnement. Ces recommandations couvrent notamment la ségrégation effective des environnements virtualisés entre différents clients d'un même fournisseur cloud (isolation multi-tenant), garantissant qu'une compromission ou une erreur de configuration chez un client n'affecte pas les autres locataires de la même infrastructure physique ; la gestion et la restitution des actifs cloud du client en fin de contrat ; et les procédures d'offboarding permettant au client de récupérer intégralement ses données et de s'assurer de leur suppression effective chez le fournisseur à la résiliation du service. ISO 27017 est fréquemment mentionnée dans les due diligences fournisseurs cloud, en complément d'ISO 27001 et de SOC 2.