ISO/IEC 27017, la sicurezza nel cloud
I controlli specifici per chi lavora nel cloud, con le evidenze che arrivano dai tuoi ambienti Microsoft 365 e Google Workspace e non da una dichiarazione.
Per chi usa e per chi fornisce servizi cloud
La ISO/IEC 27017 è un codice di condotta che estende i controlli della ISO/IEC 27002 al mondo dei servizi cloud. Si rivolge a due figure: il fornitore del servizio cloud e il cliente che lo usa, e per ogni controllo chiarisce cosa spetta all'uno e cosa all'altro.
Si applica tipicamente insieme alla ISO/IEC 27001, come estensione del sistema di gestione per chi ha i propri dati e servizi in cloud, e spesso in coppia con la ISO/IEC 27018, che si occupa dei dati personali.
Il punto di partenza è semplice e spesso dimenticato: spostare i dati nel cloud non sposta la responsabilità. Resta in capo a chi li tratta.
I controlli di sicurezza cloud della ISO 27017
- Ripartizione chiara delle responsabilità fra cliente e fornitore
- Gestione degli accessi amministrativi agli ambienti cloud
- Segregazione degli ambienti virtuali fra clienti diversi
- Configurazione sicura delle macchine e dei servizi virtuali
- Restituzione e cancellazione dei dati alla fine del servizio
- Strumenti per il cliente per monitorare il servizio cloud
- Informazione al cliente su disponibilità e incidenti
- Allineamento della sicurezza fra reti virtuali e fisiche
Le posture cloud valgono come evidenza
Oltre all'autovalutazione, la ISO 27017 è la norma in cui le verifiche di Microsoft Entra ID e Google Workspace diventano direttamente evidenza.
| Requisito ISO 27017 | Come lo copre Dottor Box |
|---|---|
| Misura del divario | Gap analysis sui controlli cloud, su copertura e maturità |
| Accessi amministrativi | Microsoft Entra ID: identità privilegiate, MFA, Conditional Access, account ospite, su 72 indicatori in sola lettura |
| Configurazione sicura | Google Workspace: 35 indicatori sul catalogo CIS, da identità e amministratori a condivisione e monitoraggio |
| App di terze parti e condivisione | Consensi OAuth alle applicazioni e condivisione esterna dei file, verificati e documentati in PDF |
| Responsabilità e fornitori cloud | Supply Chain: questionari di qualifica ai tuoi fornitori di servizi cloud |
| Procedure e SOA | Compliance e GRC: la ISO 27017 è fra le norme del modulo, con controlli e Dichiarazione di Applicabilità |
Le verifiche girano in automatico ogni settimana (Entra ID il lunedì, Google Workspace il martedì) e si possono avviare a mano. Quando un rilievo è stato valutato e accettato con una motivazione, smette di pesare sul punteggio ma torna a segnalare da sé se quella configurazione cambia. E se un dato non è disponibile, l'indicatore risulta "non valutabile", non superato.
La status page pubblica di Dottor Box
La ISO 27017 chiede al fornitore cloud di dare al cliente gli strumenti per monitorare il servizio e di informarlo sui disservizi. Dottor Marc lo fa con una pagina di stato pubblica, ospitata fuori dall'infrastruttura della piattaforma: resta raggiungibile anche quando il servizio non lo è, che è esattamente il momento in cui serve.
Gli incidenti seguono un ciclo dichiarato, Individuato, In analisi, In monitoraggio, Risolto: la comunicazione di un disservizio è strutturata, non improvvisata.
Il fornitore applica a sé il controllo che ti aiuta ad applicare.
Il cloud spiegato all'auditor
Evidenza, non dichiarazione
Le configurazioni di Microsoft 365 e Google Workspace verificate e documentate, settimana dopo settimana.
Privilegi sotto controllo
Chi è amministratore, chi ha la verifica in due passaggi, quali app hanno accesso ai dati.
Responsabilità chiare
Cosa tocca a te e cosa al fornitore, con i questionari che lo mettono per iscritto.
Un esempio da seguire
Una status page indipendente: il modo concreto in cui un fornitore informa i clienti.
ISO 27017: domande frequenti
La ISO 27017 si certifica da sola?
Di norma si attesta come estensione di un sistema di gestione ISO/IEC 27001, che resta la certificazione di riferimento.
Uso Microsoft 365: la sicurezza non è compito di Microsoft?
In parte. Il fornitore protegge l'infrastruttura; configurazioni, utenti, privilegi, app autorizzate e condivisioni restano responsabilità tua. È proprio la ripartizione che la ISO 27017 chiede di rendere esplicita.
I moduli che lavorano per la ISO 27017
Microsoft Entra ID
La postura di sicurezza del tenant Microsoft 365 su 72 indicatori, in sola lettura.
Scopri di più VedereGoogle Workspace
35 controlli sul catalogo CIS per la configurazione di Google Workspace, posta compresa.
Scopri di più GovernareCompliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più GovernareSupply Chain
La qualifica dei fornitori con questionari compilati da un link, senza creare account.
Scopri di più ConformitàISO/IEC 27018
La protezione dei dati personali nel cloud pubblico.
Scopri di più ConformitàISO/IEC 27001
Il sistema di gestione della sicurezza delle informazioni, dalla SOA all'audit.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.