Hogyan formálja át a modern felhőarchitektúrák védelmét és a tanúsítási folyamatokat a frissített nemzetközi szabvány?
A felhőalapú technológiák tömeges elterjedése – különösen a mesterséges intelligencia alkalmazások robbanásszerű növekedése és a kritikus üzleti rendszerek migrálása révén – alapjaiban változtatta meg a vállalati informatikai stratégiákat. Ahogy a szervezetek egyre nagyobb mértékben támaszkodnak külső felhőszolgáltatókra érzékeny adataik tárolásában és feldolgozásában, a biztonsági kihívások is új szintre emelkedtek. Erre ad választ az ISO 27017:2026, amely a felhőbiztonsági szabvány első átfogó frissítése, igazítva azt a legfrissebb technológiai realitásokhoz és az időközben megjelent ISO 27002:2022 struktúrájához.
Mi is az az ISO 27017, és miért kulcsfontosságú?
Az ISO 27017 kifejezetten a felhőalapú szolgáltatások biztonsági követelményeire fókuszál. Az ISO 27002 keretrendszerére építve – amelyet az ISO 27001 információbiztonsági irányítási rendszer (ISMS) A melléklete is használ – kiegészítő, specifikus iránymutatásokat nyújt mind a felhőszolgáltatók (Cloud Service Providers –
CSP), mind a felhőszolgáltatást igénybe vevők (Cloud Service Customers – CSC) számára. A szabvány egyik legfontosabb alappillére a megosztott felelősség (shared responsibility) modell. Világos különbséget tesz a következő szereplők között:
- CSC (Felhőszolgáltatást igénybe vevő): Az a szervezet, amely megvásárolja vagy használja a felhőszolgáltatásokat.
- CSP (Felhőszolgáltató): Az infrastruktúrát és a szolgáltatásokat biztosító szervezet (pl. AWS, Microsoft Azure, Google Cloud).
- CSN (Felhőszolgáltató Partner): Támogató szervezetek, például felhőalapú brókerek vagy fejlesztők.
Főbb változások az ISO 27017:2026 kiadásban
A 2015-ös verzió megjelenése óta ez az első komolyabb revízió. A frissítés nem csupán kozmetikai jellegű, henem strukturális és tartalmi szinten is hozzáigazította a szabványt a mai multi-cloud és hibrid környezetekhez.
A legfontosabb változások:
- Strukturális egység: Teljes körű igazodás az ISO/IEC 27002:2022 szervezeti, humán, fizikai és technológiai kontrollok struktúrájához, ami jelentősen megkönnyíti a meglévő ISO 27001 rendszerekbe való integrációt.
- Modernizált irányítás: Fejlettebb iránymutatások a virtualizációra, a konfigurációkezelésre, a monitorozásra és a felhőalapú kormányzásra (governance) vonatkozóan.
- Fokozott felelősség-allokáció: Világosabb útmutatások arról, hogy a biztonsági kötelezettségek hol oszlanak meg a felek között, megelőzve a félreértésekből adódó biztonsági réseket.
Az Új „CLD” Kontrolok Bevezetése
A 2026-os kiadás egyik leglényegesebb újítása négy dedikált, felhőspecifikus kontroll bevezetése, amelyek a CLD (Cloud Extended Controls) előtagot viselik. Ezek olyan területeket fednek le, amelyeket a hagyományos informatikai kontrollok önmagukban nem kezelnek.
CLD 5.38: Megosztott szerepek és felelősségi körök felhőalapú környezetben
Ez a kontroll intézményesíti a megosztott felelősség elvét. Megköveteli, hogy a biztonsági szerepköröket mind a CSC, mind a CSP hivatalosan definiálja, dokumentálja, kommunikálja és ültesse át a gyakorlatba. Ezzel megszűnik a bizonytalanság abban a tekintetben, hogy melyik fél felel egy adott biztonsági tevékenységért.
CLD 5.39: Megállapodás a felhőszolgáltató partnerek szerepéről és felelősségéről
Teljesen új kontroll, amelynek nem volt előzménye a 2015-ös kiadásban. Szabályozza a harmadik félként közreműködő felhőpartnerek (CSN-ek – mint a felhőalapú brókerek, auditálók vagy fejlesztők) információs biztonsági szerepköreit és kötelezettségeit, biztosítva a komplex digitális ökoszisztémák megfelelő kormányzását.
CLD 8.35: Elkülönítés (Szegregáció) a virtuális számítástechnikai környezetekben
A multi-tenancy (több bérlős) architektúrák alapvető kihívásaira válaszol. Megköveteli a CSP-ktől a bérlők közötti hatékony logikai elválasztást (adatalapú, alkalmazási, operációs rendszerbeli, tárhely- és
hálózati szinten egyaránt), valamint az ügyfélkörnyezetek és a szolgáltatói adminisztrációs rendszerek szigorú szegregációját.
CLD 8.36: A felhőszolgáltatások jogosulatlan használatának felderítése és megelőzése
Ez a kontroll a felhőszolgáltatások használatának monitorozására és a jogosulatlan használat felderítésére fókuszál. Arra ösztönzi a szervezeteket, hogy megfelelő mechanizmusokat vezessenek be a jogosulatlan felhőszolgáltatás-használat, a szokatlan erőforrás-felhasználás, valamint az illetéktelen adatáramlások és a „shadow IT” felismerésére és megelőzésére.
Kapcsolat az ISO 27001 szabvánnyal és tanúsítási vonatkozások
Fontos hangsúlyozni, hogy az ISO/IEC 27017 nem önállóan tanúsítható irányítási rendszerszabvány, hanem az ISO/IEC 27002-re épülő, felhőszolgáltatásokra vonatkozó kiegészítő kontrollokat és megvalósítási útmutatást biztosít. Alkalmazása az ISO/IEC 27001 szerinti információbiztonsági irányítási rendszerbe integrálható. A gyakorlatban a szervezetek az ISO/IEC 27001 keretrendszerén belül alkalmazhatják a felhőspecifikus kontrollokat, figyelembe véve a felhőszolgáltatásokhoz kapcsolódó sajátos kockázatokat és a szolgáltató–ügyfél közötti megosztott felelősséget.
A megfelelőség értékelése jellemzően a meglévő ISO/IEC 27001 szerinti ISMS kiterjesztéseként történik. A tanúsító testületek az ISO/IEC 27001 szerinti audit részeként vagy ahhoz kapcsolódóan vizsgálhatják az ISO/IEC 27017 felhőspecifikus követelményeinek és útmutatásainak alkalmazását. Ennek eredményeként a szervezet igazolhatja, hogy információbiztonsági irányítási rendszere a felhőszolgáltatások sajátos biztonsági és kockázatkezelési szempontjait is megfelelően kezeli.
