ISO/IEC 27017, bulut bilişimin kendine özgü risklerini karşılamak için hazırlanmış bir uygulama kılavuzudur. Genel bilgi güvenliği kontrollerinin bulut ortamında nasıl yorumlanacağını açıklar ve buluta has yeni kontroller ekler; kimin neyi korumakla yükümlü olduğunu netleştirmesi onu asıl kullanışlı kılan yanıdır.

ISO/IEC 27017, bulutta güvenliğin sağlayıcı ile müşteri arasında nerede bölündüğünü kontrol düzeyinde tarif eden kılavuzdur.

27001’in Üzerine İnşa Edilir

Bu standart tek başına duran bir çerçeve değildir; ISO/IEC 27001 ve onun kontrol kataloğu olan 27002’nin üzerine oturur. Mevcut kontrolleri bulut bağlamında yeniden yorumlar ve buluta özgü ek kontrollerle genişletir. Dolayısıyla bir kuruluş önce temel yönetim sistemini kurar, ardından 27017 ile bulut katmanını üzerine giydirir; sıfırdan bağımsız bir sistem inşa etmez.

Paylaşılan Sorumluluğu Netleştirmek

Bulutun en sık yanlış anlaşılan yanı, güvenliğin nerede sağlayıcıya nerede müşteriye ait olduğudur. Bu sınır bulut bilişim hizmet modelleri arasında kayar: altyapı hizmetinde işletim sistemi yamalarını müşteri üstlenirken, yazılım hizmetinde bu yük sağlayıcıya geçer. ISO/IEC 27017, bu paylaşımı sözleşme öncesinde açıkça konuşmayı zorunlu kılan maddeler içerir; böylece her iki taraf da diğerinin yaptığını varsayıp korumasız kalan bir boşluk oluşmasını engeller.

Buluta Özgü Ek Kontroller

Standart, klasik veri merkezinde karşılığı olmayan konulara özel maddeler getirir. Sanal makinelerin güvenli yapılandırılması, aynı fiziksel donanımı paylaşan farklı müşterilerin birbirinden yalıtılması ve sözleşme sona erdiğinde verinin geri alınıp sağlayıcı tarafında silinmesi bunlardan bazılarıdır.

• Sağlayıcı ile müşteri arasında roller ve sorumlulukların yazılı paylaşımı
• Sanal ortamların sertleştirilmesi ve kiracı yalıtımı
• Yönetici işlemlerinin izlenmesi ve kayıt altına alınması
• Sözleşme bitiminde verinin geri alınması ve güvenli imhası

Uyum ve Denetimde Yeri

ISO/IEC 27017’ye uygunluk, bir bulut sağlayıcısının ciddiyetini müşteriye gösterme aracıdır ve tedarikçi değerlendirmelerinde giderek daha sık aranır. Bu uyumun sürekli denetlenmesi bulut uyum denetimi kapsamına girer; yapılandırmaların standarda uygun kalıp kalmadığının anlık izlenmesi ise bulut güvenlik duruşu yönetimi araçlarıyla otomatikleştirilir.

Kurumsal Fayda

Bir kuruluş bu standardı benimsediğinde, bulut kararlarını sezgiyle değil tanımlı kontrollerle verir ve sağlayıcısıyla yaşadığı sorumluluk belirsizliğini önceden çözer. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti, bulut yapılandırmalarını bu standardın kontrolleriyle karşılaştırarak sorumluluk boşluklarını ve yanlış varsayımları görünür kılar.