Qué son las dos normas
ISO/IEC 27017 ofrece orientación específica para la nube sobre los controles de ISO 27001 y añade algunos propios: quién es responsable de qué entre el proveedor de nube y el cliente, cómo se separan los entornos de los clientes, cómo se controla a los administradores del proveedor, cómo se refuerzan las máquinas virtuales y cómo puede el cliente supervisar el servicio. ISO/IEC 27018, revisada por última vez en 2025, trata de los datos personales que trata un proveedor de nube pública como encargado: usarlos solo según las instrucciones del cliente, nunca para marketing, informar al cliente de las solicitudes de las autoridades, eliminarlos al finalizar el contrato y nombrar a los subencargados.
Qué preguntan los clientes
- Si su certificado ISO 27001 incluye ISO 27017 e ISO 27018, y para qué servicio.
- El reparto de responsabilidades entre usted, su proveedor de alojamiento y el cliente.
- Cómo se mantienen separados los datos de un cliente de los de otro en una aplicación compartida.
- Cómo se restringe y se registra el acceso privilegiado de su personal a los entornos de los clientes.
- Si los datos personales de los clientes se usan para algún fin propio, como marketing, analítica o entrenamiento de modelos.
- Cómo responde a una solicitud de datos de clientes por parte de una autoridad pública y si informa al cliente.
- Cómo se devuelven y se eliminan los datos al finalizar el contrato, copias de seguridad incluidas.
Responder como proveedor
Si su auditoría ISO 27001 incluye los dos códigos, dígalo y cite el alcance. Si no, responda a las filas directamente. La mayoría son hechos que ya tiene en sus respuestas de seguridad y privacidad, formulados para un servicio en la nube. Dos respuestas necesitan una declaración clara propia: la separación entre clientes (cómo impide la aplicación que los datos de un cliente lleguen a otro) y la política ante solicitudes de las autoridades. Redacte ambas una vez y reutilícelas.
En Responsemate
Estas respuestas están en la base de conocimiento junto a las respuestas de ISO 27001 y del RGPD con las que se solapan, con los certificados adjuntos como evidencia con fechas de caducidad, y cada cuestionario sobre la nube se redacta a partir de ellas con la fuente visible. Conocimiento en Responsemate.
Preguntas que hacen las personas
¿Podemos certificarnos en ISO 27017 o ISO 27018?
No por sí solas. Son códigos de buenas prácticas que se evalúan como parte de una auditoría ISO 27001, y el certificado o la declaración del auditor las menciona. Los clientes lo interpretan como que el alcance de ISO 27001 cubre los controles de la nube.
¿Nos cubren los certificados ISO 27017 y 27018 de nuestro proveedor de alojamiento?
Cubren la infraestructura, no su aplicación. Cítelos en las filas sobre el centro de datos y la plataforma, y responda al resto por su propio servicio.