Перенесли сервери в хмару, і здається, що безпекою тепер займається провайдер. Насправді він відповідає лише за свою частину. Налаштування доступів, резервні копії ваших даних, шифрування на рівні застосунку часто лишаються на вас. Саме цей розподіл і описує стандарт ISO/IEC 27017.
Модель спільної відповідальності
Провайдер відповідає за фізичну інфраструктуру, мережу дата-центру і роботу платформи. Клієнт відповідає за облікові записи, права користувачів, конфігурацію сервісів і дані. Більшість інцидентів у хмарі стається не через злам провайдера, а через відкрите сховище або забутий обліковий запис адміністратора.
Що додає ISO/IEC 27017
Стандарт доповнює заходи ISO/IEC 27002 хмарною специфікою і додає кілька нових вимог:
- чітко розписані ролі провайдера і клієнта;
- видалення даних клієнта після завершення договору;
- ізоляція віртуальних середовищ різних клієнтів;
- захист конфігурації віртуальних машин;
- моніторинг хмарних сервісів з боку клієнта.
Кому це потрібно
Провайдерам хостингу і SaaS стандарт дає зрозумілу відповідь на анкети корпоративних клієнтів. Компаніям, які працюють у чужій хмарі, він допомагає довести, що свою частину відповідальності вони контролюють. Окремого сертифіката ISO/IEC 27017 не буває: його заходи включають в область сертифікації ISO/IEC 27001.
Практичний мінімум
Типові помилки клієнтів хмари
Публічний доступ до сховища, залишений після тестування. Спільний обліковий запис адміністратора на всю команду. Резервні копії, які нібито робить провайдер, хоча в договорі цього немає. Облікові записи звільнених працівників у консолі керування. Усі ці випадки стосуються саме частини клієнта.
Вихід від провайдера
Ще одна вимога, про яку згадують надто пізно: план виходу. Для кожного критичного сервісу варто знати, як вивантажити дані у відкритому форматі і як отримати підтвердження їх видалення.
Для невеликих команд найпростіший старт: одна таблиця на кожен сервіс з колонками «що робить провайдер», «що робимо ми», «хто відповідальний» і «як перевіряємо». Її ж потім показують аудитору і клієнтам.
Корисно також раз на рік перевіряти, чи не змінились умови провайдера: нові субпідрядники, нові регіони зберігання даних, інші правила резервного копіювання.
Навіть без сертифікації варто мати матрицю відповідальності для кожного важливого хмарного сервісу, багатофакторну автентифікацію для всіх адміністраторів і регулярну перевірку налаштувань автоматичними засобами. Детальніше про вимоги стандарту і як його поєднати з ISO/IEC 27001 написано на сторінці про ISO/IEC 27017 для хмарних сервісів.
