Hva de to standardene er
ISO/IEC 27017 gir skyspesifikk veiledning til ISO 27001-kontrollene og legger til noen egne: hvem som har ansvaret for hva mellom skyleverandøren og kunden, hvordan kundemiljøer holdes adskilt, hvordan leverandørens administratorer kontrolleres, hvordan virtuelle maskiner herdes, og hvordan kunden kan overvåke tjenesten. ISO/IEC 27018, sist revidert i 2025, handler om personopplysninger som behandles av en offentlig skyleverandør i rollen som databehandler: å bruke dem bare etter kundens instrukser, aldri til markedsføring, å varsle kunden om forespørsler fra myndigheter, å slette dem ved avtalens slutt og å navngi underdatabehandlere.
Hva kundene spør om
- Om ISO 27001-sertifikatet deres omfatter ISO 27017 og ISO 27018, og for hvilken tjeneste.
- Ansvarsfordelingen mellom dere, hostingleverandøren og kunden.
- Hvordan én kundes data holdes adskilt fra en annens i en delt applikasjon.
- Hvordan de ansattes privilegerte tilgang til kundemiljøer begrenses og logges.
- Om kundens personopplysninger brukes til egne formål, som markedsføring, analyse eller modelltrening.
- Hvordan dere håndterer en forespørsel om kundedata fra en offentlig myndighet, og om dere varsler kunden.
- Hvordan data leveres tilbake og slettes ved avtalens slutt, også sikkerhetskopier.
Å svare som leverandør
Omfatter ISO 27001-revisjonen deres de to standardene, si det og gjengi omfanget. Gjør den ikke det, svar direkte på radene. De fleste er fakta du allerede har i sikkerhets- og personvernsvarene dine, formulert for en skytjeneste. To svar trenger en tydelig egen formulering: separasjon mellom kunder (hvordan applikasjonen holder én kundes data unna en annens) og policyen for forespørsler fra myndigheter. Skriv begge én gang og gjenbruk dem.
I Responsemate
Disse svarene ligger i kunnskapsbasen ved siden av svarene om ISO 27001 og GDPR som de overlapper med, med sertifikatene vedlagt som dokumentasjon med utløpsdatoer, og hvert spørreskjema om sky får utkast fra dem med kilden synlig. Kunnskap i Responsemate.
Vanlige spørsmål
Kan vi bli sertifisert etter ISO 27017 eller ISO 27018?
Ikke alene. De er retningslinjer for praksis (codes of practice), som vurderes som en del av en ISO 27001-revisjon, og sertifikatet eller revisorens erklæring nevner dem da. Kunder leser det som at ISO 27001-omfanget dekker skykontrollene.
Dekker hostingleverandørens ISO 27017- og 27018-sertifikater oss?
De dekker infrastrukturen, ikke applikasjonen deres. Vis til dem på radene om datasenteret og plattformen, og svar på resten for deres egen tjeneste.