Что это за сертификат?

ISO/IEC 27017 представляет собой руководство по средствам управления информационной безопасностью, специфичным для облачных сервисов. Он интерпретирует элементы управления ISO/IEC 27002 в облачном контексте и добавляет элементы управления, специфичные для облака. Его наиболее важным вкладом является разъяснение того, как распределяется ответственность между ПОСТАВЩИКОМ облачных услуг и его ЗАКАЗЧИКОМ.

Кому он нужен?

Компании IaaS, PaaS и SaaS, предоставляющие облачные услуги
Корпоративные клиенты перемещают критически важные рабочие нагрузки в облако
Компании-разработчики программного обеспечения, использующие многоарендную архитектуру
Организации, запрашивающие гарантию безопасности у своего поставщика облачных услуг.

Обязателен ли он?

Не обязательно. Он проверен как расширение в рамках сертификата ISO/IEC 27001; сам по себе он не является независимым сертификатом системы менеджмента. Его часто запрашивают при оценке поставщиков облачных клиентов.

Область применения стандарта

Руководство по применению средств управления ISO/IEC 27002 в контексте облачных сервисов
Распределение ролей и ответственности между поставщиком облачных услуг и его клиентом.
Усиление конфигурации виртуальной машины
Разделение виртуальных и физических сетей, изоляция арендаторов
Мониторинг и протоколирование административных операций в облачной среде
Защита активов клиентов в общей среде виртуализации
Удаление и возврат активов клиента при прекращении обслуживания

Процесс сертификации

1ОбращениеОпределяются сфера деятельности организации, численность персонала, количество объектов и границы масштабов. На основании этой информации рассчитывается количество аудиторских дней.
2Проверка документов (этап 1)Проверяются документация системы менеджмента, определение объема работ, оценка рисков и записи внутреннего аудита/проверки со стороны руководства; оценивается готовность к выездной проверке.
3Сертификационный аудит (2 этап)На месте проверяется, что система внедрена и эффективна. Выводы классифицируются как значительные/незначительные несоответствия или наблюдения.
4Закрытие несоответствийОрганизация представляет анализ первопричин и план корректирующих действий. Сертификат не выдается до тех пор, пока не будут устранены серьезные несоответствия.
5Выдача сертификатаСертификат выдается после проверки независимым лицом, принимающим решения. Аудиторская группа не может принять решение о сертификации.
6Надзорные аудитыНадзорный аудит проводится не реже одного раза в год в течение срока действия сертификата. Срок первого наблюдения не может превышать 12 месяцев с последнего дня Этапа 2.
7РесертификацияПо истечении трех лет вся система проходит повторный аудит; его необходимо завершить до истечения срока действия сертификата.

Срок действия

Сертификаты системы менеджмента действительны в течение трех лет. В этот период проводится не менее одной надзорной проверки в год; действие сертификата приостанавливается, если надзор не проводится. Ресертификационный аудит завершается в конце третьего года.

Необходимые документы

Запись в торговом реестре и лицензия на деятельность
Организационная структура организации и численность персонала
Список сайтов/филиалов в рамках
Руководство по системе менеджмента или технологическая документация
Записи внутреннего аудита и анализа со стороны руководства
Юридические разрешения, лицензии и эксплуатационные документы, если таковые имеются.

Стоимость сертификации

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

Численность персонала в объеме (напрямую определяет количество дней аудита)
Количество сайтов и филиалов; применяется ли выборка из нескольких мест
Уровень риска деятельности и сложность процесса
Количество стандартов, подлежащих сертификации — комплексный аудит сокращает количество дней
Трехлетний цикл: сертификация + два надзорных аудита.

Аккредитация

Сертификация системы менеджмента осуществляется в рамках стандарта ISO/IEC 17021-1. Орган по сертификации аккредитован органом по аккредитации, подписавшим соглашение о многостороннем признании IAF (IAF MLA); Это соглашение устанавливает цепочку международного признания, гарантирующую, что документ, выданный в одной стране, будет принят в других странах. EUROLAB имеет международно признанную аккредитацию органов по аккредитации членов IAF в рамках ISO/IEC 17021-1.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

Область применения и разрешения