Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO/IEC 27017:2015 — 信息安全管理 — 云服务实施准则
云特定安全控制措施与共享责任模型实施
一、云特定信息安全控制
ISO/IEC 27017:2015 提供了适用于云服务提供和使用的信息安全控制实施准则。它在 ISO/IEC 27002 的全面控制集基础上增加了七个额外的云特定控制措施，并提供了反映云计算环境共享责任模型、多租户架构和动态可扩展性特征的实施指南。随着组织越来越多地将其运营迁移到云平台，针对云交付模式定制的一套一致且权威的安全控制措施变得至关重要。
ISO/IEC 27017 的基本原则是云安全是一项共享责任。云客户和云服务提供商各自拥有不同但相互依赖的安全义务，必须明确定义、记录和验证。
该标准由 ISO/IEC 和 ITU-T 联合制定（作为 ITU-T X.1631 建议书），反映了云安全最佳实践的全球共识。它涵盖了全部云服务模型（IaaS、PaaS、SaaS）和部署模型（公有云、私有云、混合云、社区云），提供了适用于不同云架构的指南。2015 版建立了一个基准，此后已被云服务提供商、监管机构和企业客户广泛采用，作为云信息安全控制的基准。
二、实践中的共享责任模型
ISO/IEC 27017 通过为云客户和云服务提供商提供具体指南，将共享责任模型付诸实践。对于 CSP，该标准涉及与云服务架构、客户环境逻辑隔离、虚拟机安全、云服务管理和云服务监控相关的控制措施。对于客户，它提供了关于理解自身安全责任、管理对云资源的访问、保护云环境中的数据以及通过独立机制验证 CSP 安全实践的指南。
| 控制领域 | 云特定控制 | 客户责任 | 提供商责任 |
|---|---|---|---|
| 治理 | 定义角色、职责和升级流程的云服务治理框架 | 定义安全要求；进行提供商风险评估；审查 SLA | 发布安全功能；提供合规证明；维护安全认证 |
| 身份与访问 | 云特定身份和访问管理，包括联合身份、API 访问控制和特权用户管理 | 管理用户身份；实施 MFA；控制对云资源的管理访问 | 提供 IAM 能力；支持联合标准；实施提供商访问控制 |
| 数据保护 | 云数据生命周期管理，包括静态和传输中数据加密、数据隔离和数据可移植性 | 对数据进行分类；管理加密密钥；验证合同终止后的数据删除 | 实施加密基础设施；强制逻辑隔离；提供数据导出工具 |
| 运营 | 云服务运营安全，包括漏洞管理、配置管理和安全监控 | 加固客户管理组件；监控客户环境；实施备份策略 | 修补提供商基础设施；监控提供商平台；管理虚拟化管理和物理安全 |
| 合规 | 处理多管辖法律要求、数据驻留和审计权的云合规管理 | 了解监管义务；验证提供商合规性；维护审计证据 | 提供合规文档；支持客户审计权；披露数据处理位置 |
最常见的云安全故障源于误解或错误分配的责任。组织不能因为数据驻留在云提供商的环境中就认为提供商承担全部安全责任。无论服务模型如何，客户对数据分类、访问管理和应用层安全的职责始终存在。
三、云客户和提供商的实施指南
对于采用云服务的组织，实施 ISO/IEC 27017 首先需要定义其云安全策略，并选择能够证明符合标准要求的云服务提供商。客户应进行详细的控制映射，将标准的控制措施与提供商记录在案的安全能力进行对比，识别需要客户额外实施控制或补偿措施的差距。应特别注意与数据隔离、加密密钥管理、事件响应协调和数据可移植性相关的控制措施——这些领域共享责任模型在客户和提供商的行动之间产生了依赖关系。
实施 ISO/IEC 27017 的云服务提供商应将该标准作为设计、记录和展示其安全能力的框架。该标准的云特定控制措施从 CLD 1（云服务治理）到 CLD 7（云服务监控）为提供商的安防计划提供了全面的基准。提供商应准备客户责任矩阵，清晰记录哪些控制措施由提供商实施、哪些是客户的责任以及哪些需要联合实施。该矩阵应纳入服务协议中，并在采购过程中提供给客户。客户和提供商都应建立控制有效性持续验证的机制，包括定期安全评估、渗透测试和独立第三方审计。
实施 ISO/IEC 27017 控制措施的云环境表现出可衡量地更强的安全态势，研究表明配置错误事件减少 40%，且通过客户-提供商协调监控实现事件检测速度提升 30%。
常见问题
问：ISO/IEC 27017 是否适用于所有云服务模型（IaaS、PaaS、SaaS）？
答：是的。该标准设计为适用于所有服务和部署模型。具体控制措施的实施会有所不同——例如，在 SaaS 中提供商通常实施更多的控制措施，而在 IaaS 中客户保留对更多安全堆栈层的责任。
答：是的。该标准设计为适用于所有服务和部署模型。具体控制措施的实施会有所不同——例如，在 SaaS 中提供商通常实施更多的控制措施，而在 IaaS 中客户保留对更多安全堆栈层的责任。
问：ISO/IEC 27017 与云安全联盟云控制矩阵的关系是什么？
答：两者都提供云安全控制框架且互为补充。ISO/IEC 27017 提供与 ISO/IEC 27000 系列保持一致的国际标准化实施准则，而 CSA CCM 则提供更细粒度的控制矩阵，通常用于提供商评估。许多组织同时使用这两个框架。
答：两者都提供云安全控制框架且互为补充。ISO/IEC 27017 提供与 ISO/IEC 27000 系列保持一致的国际标准化实施准则，而 CSA CCM 则提供更细粒度的控制矩阵，通常用于提供商评估。许多组织同时使用这两个框架。
问：ISO/IEC 27017 可以用于认证吗？
答：ISO/IEC 27017 是实施准则，而不是认证标准。然而，许多认证机构提供基于 ISO/IEC 27017 的证明或审计服务。它通常与 ISO/IEC 27001 认证一起实施，审计员在 ISMS 审计期间验证云特定控制措施的实施情况。
答：ISO/IEC 27017 是实施准则，而不是认证标准。然而，许多认证机构提供基于 ISO/IEC 27017 的证明或审计服务。它通常与 ISO/IEC 27001 认证一起实施，审计员在 ISMS 审计期间验证云特定控制措施的实施情况。
问：ISO/IEC 27017 是否足以满足使用云服务时 GDPR 等法规的合规要求？
答：ISO/IEC 27017 为云服务提供了优秀的安全控制基线，有助于实现 GDPR 合规目标。但是，GDPR 还有与数据处理记录、数据保护影响评估和数据保护协议条款相关的额外要求，这些超出了 ISO/IEC 27017 的范围。
答：ISO/IEC 27017 为云服务提供了优秀的安全控制基线，有助于实现 GDPR 合规目标。但是，GDPR 还有与数据处理记录、数据保护影响评估和数据保护协议条款相关的额外要求，这些超出了 ISO/IEC 27017 的范围。
