Vad de två standarderna är
ISO/IEC 27017 ger molnspecifik vägledning om kontrollerna i ISO 27001 och lägger till några egna: vem som ansvarar för vad mellan molnleverantören och kunden, hur kundmiljöer hålls åtskilda, hur leverantörens administratörer kontrolleras, hur virtuella maskiner härdas och hur kunden kan övervaka tjänsten. ISO/IEC 27018, senast reviderad 2025, handlar om personuppgifter som behandlas av en leverantör av publika molntjänster i rollen som personuppgiftsbiträde: att de bara används enligt kundens instruktioner, aldrig för marknadsföring, att kunden informeras om förfrågningar från myndigheter, att de raderas när avtalet upphör och att underbiträden namnges.
Vad kunder frågar
- Om ditt ISO 27001-certifikat omfattar ISO 27017 och ISO 27018, och för vilken tjänst.
- Ansvarsfördelningen mellan dig, din hostingleverantör och kunden.
- Hur en kunds data hålls åtskilda från en annans i en delad applikation.
- Hur din personals privilegierade åtkomst till kundmiljöer begränsas och loggas.
- Om kundens personuppgifter används för egna syften, som marknadsföring, analys eller modellträning.
- Hur du hanterar en begäran från en myndighet om kunddata, och om du informerar kunden.
- Hur data återlämnas och raderas när avtalet upphör, inklusive säkerhetskopior.
Att svara som leverantör
Om din ISO 27001-revision omfattar de två vägledningarna, säg det och citera omfattningen. Om den inte gör det, besvara raderna direkt. De flesta är fakta du redan har i dina säkerhets- och integritetssvar, formulerade för en molntjänst. Två svar behöver ett eget tydligt ställningstagande: kundseparationen (hur applikationen håller en kunds data åtskilda från en annans) och policyn för myndighetsförfrågningar. Skriv båda en gång och återanvänd dem.
I Responsemate
De här svaren ligger i kunskapsbasen bredvid svaren om ISO 27001 och GDPR som de överlappar med, med certifikaten bifogade som underlag med utgångsdatum, och varje frågeformulär om moln skrivs som utkast utifrån dem med källan synlig. Kunskap i Responsemate.
Vanliga frågor
Kan vi certifieras enligt ISO 27017 eller ISO 27018?
Inte var för sig. De är vägledningar (codes of practice) som bedöms som en del av en ISO 27001-revision, och certifikatet eller revisorns utlåtande nämner dem sedan. Kunder läser det som att omfattningen för ISO 27001 täcker molnkontrollerna.
Täcker vår hostingleverantörs ISO 27017- och 27018-certifikat även oss?
De täcker infrastrukturen, inte din applikation. Hänvisa till dem på raderna om datacentret och plattformen, och besvara resten för din egen tjänst.