Wat de twee normen zijn
ISO/IEC 27017 geeft cloudspecifieke richtlijnen bij de beheersmaatregelen van ISO 27001 en voegt er een paar eigen aan toe: wie waarvoor verantwoordelijk is tussen de cloudaanbieder en de klant, hoe klantomgevingen worden gescheiden, hoe de beheerders van de aanbieder worden gecontroleerd, hoe virtuele machines worden gehard, en hoe de klant de dienst kan monitoren. ISO/IEC 27018, voor het laatst herzien in 2025, gaat over persoonsgegevens die een publieke cloudaanbieder als verwerker verwerkt: ze alleen gebruiken op instructie van de klant, nooit voor marketing, de klant informeren over verzoeken van overheden, ze verwijderen aan het einde van het contract en subverwerkers bij naam noemen.
Wat klanten vragen
- Of uw ISO 27001-certificaat ISO 27017 en ISO 27018 omvat, en voor welke dienst.
- De verdeling van verantwoordelijkheden tussen u, uw hostingaanbieder en de klant.
- Hoe de gegevens van de ene klant in een gedeelde applicatie gescheiden blijven van die van een andere.
- Hoe bevoorrechte toegang van uw medewerkers tot klantomgevingen wordt beperkt en gelogd.
- Of persoonsgegevens van klanten voor eigen doeleinden worden gebruikt, zoals marketing, analyse of het trainen van modellen.
- Hoe u reageert op een verzoek van een overheidsinstantie om klantgegevens, en of u de klant daarvan op de hoogte brengt.
- Hoe gegevens aan het einde van het contract worden teruggegeven en verwijderd, back-ups inbegrepen.
Antwoorden als leverancier
Omvat uw ISO 27001-audit de twee codes, zeg dat dan en citeer de scope. Zo niet, beantwoord de rijen dan rechtstreeks. De meeste zijn feiten die u al in uw beveiligings- en privacyantwoorden hebt, geformuleerd voor een clouddienst. Twee antwoorden verdienen een eigen, duidelijke verklaring: de scheiding tussen tenants (hoe de applicatie de gegevens van de ene klant afschermt van die van een andere) en het beleid voor verzoeken van overheden. Schrijf beide één keer en hergebruik ze.
In Responsemate
Deze antwoorden staan in de kennisbank naast de antwoorden over ISO 27001 en de AVG (GDPR) waarmee ze overlappen, met de certificaten als bewijs met vervaldatums, en elke cloudvragenlijst wordt daaruit opgesteld met de bron erbij. Kennis in Responsemate.
Veelgestelde vragen
Kunnen we ons laten certificeren voor ISO 27017 of ISO 27018?
Niet afzonderlijk. Het zijn praktijkrichtlijnen (codes of practice) die worden beoordeeld als onderdeel van een ISO 27001-audit, waarna het certificaat of de verklaring van de auditor ze noemt. Klanten lezen dat als: de scope van ISO 27001 dekt ook de cloudmaatregelen.
Dekken de ISO 27017- en 27018-certificaten van onze hostingaanbieder ook ons?
Ze dekken de infrastructuur, niet uw applicatie. Verwijs ernaar bij de rijen over het datacenter en het platform, en beantwoord de rest voor uw eigen dienst.