Hvad de to standarder er
ISO/IEC 27017 giver cloudspecifik vejledning til ISO 27001-kontrollerne og tilføjer nogle få egne: hvem der har ansvaret for hvad mellem cloududbyderen og kunden, hvordan kundemiljøer adskilles, hvordan udbyderens administratorer kontrolleres, hvordan virtuelle maskiner hærdes, og hvordan kunden kan overvåge tjenesten. ISO/IEC 27018, senest revideret i 2025, handler om personoplysninger, som en offentlig cloududbyder behandler som databehandler: at bruge dem udelukkende efter kundens instruks, aldrig til markedsføring, at underrette kunden om anmodninger fra myndigheder, at slette dem ved kontraktens ophør og at oplyse, hvem underdatabehandlerne er.
Det spørger kunderne om
- Om dit ISO 27001-certifikat omfatter ISO 27017 og ISO 27018, og for hvilken tjeneste.
- Ansvarsfordelingen mellem dig, din hostingudbyder og kunden.
- Hvordan én kundes data holdes adskilt fra en andens i en delt applikation.
- Hvordan dine medarbejderes privilegerede adgang til kundemiljøer begrænses og logges.
- Om kundens personoplysninger bruges til jeres egne formål, for eksempel markedsføring, analyse eller modeltræning.
- Hvordan du reagerer på en anmodning fra en offentlig myndighed om kundedata, og om du fortæller kunden det.
- Hvordan data tilbageleveres og slettes ved kontraktens ophør, også i backups.
At svare som leverandør
Omfatter din ISO 27001-revision de to praksiskodekser, så sig det, og gengiv omfanget. Hvis ikke, så besvar rækkerne direkte. De fleste af dem er fakta, du allerede har i dine svar om sikkerhed og privatliv, formuleret til en cloudtjeneste. To svar kræver deres egen klare formulering: adskillelse af kunder (hvordan applikationen holder én kundes data adskilt fra en andens) og politikken for anmodninger fra myndigheder. Skriv begge én gang, og genbrug dem.
I Responsemate
Disse svar ligger i vidensbasen ved siden af de ISO 27001- og GDPR-svar, de overlapper med, med certifikaterne vedhæftet som dokumentation med udløbsdatoer, og hvert cloudspørgeskema udarbejdes ud fra dem med kilden vist. Viden i Responsemate.
Spørgsmål, folk stiller
Kan vi blive certificeret efter ISO 27017 eller ISO 27018?
Ikke alene. De er praksiskodekser, der vurderes som en del af en ISO 27001-revision, og certifikatet eller revisorens erklæring nævner dem derefter. Kunderne læser det sådan, at ISO 27001-omfanget dækker cloudkontrollerne.
Dækker vores hostingudbyders ISO 27017- og 27018-certifikater os?
De dækker infrastrukturen, ikke din applikation. Henvis til dem i rækkerne om datacentret og platformen, og besvar resten for din egen tjeneste.