ISO 27017 e ISO 27018: Sicurezza Cloud e Compliance PII
Nell’attuale panorama tecnologico, la Certificazione ISO/IEC 27001 rappresenta il fondamento per la gestione della sicurezza. Tuttavia, l’astrazione introdotta dal paradigma Cloud ha creato un ‘gap di visibilità’ che lo standard base non può colmare interamente. Per i professionisti IT, la sfida è governare la complessità di infrastrutture effimere, multi-tenant e geograficamente distribuite.
Proprio per questo nascono le estensioni ISO/IEC 27017 e ISO/IEC 27018.
Queste, mirano a fornire un framwork tecnico che declina i principi della ISO 27001 nel contesto specifico del Cloud e della protezione dei dati personali (PII). Implementare queste estensioni significa passare a una sicurezza cloud-native, garantendo la conformità ai più alti standard internazionali.
Il gap tra ISO 27001 e l’ecosistema Cloud
In un Sistema di Gestione per la Sicurezza delle Informazioni, conforme alla ISO 27001, cosa proteggere è ben definito. Tuttavia, vengono lasciati margini di interpretazione su ‘come’ farlo in ambienti virtuali. Il limite principale dello standard ‘base’ risiede nella gestione delle responsabilità trasversali.
Infatti, come evidenziato nelle linee guida ENISA (Agenzia dell’Unione Europea per a Cybersicurezza), il rischio maggiore nel cloud è dato dall’ambiguità sulla titolarità dei controlli.
L’estensione ISO 27017 interviene e risolve il problema mappando le responsabilità tra Cloud Service Provider (CSP) e Cloud Service Customer (CSC).
Hai bisogno di supporto?
I nostri esperti hanno le competenze necessarie per aiutarti a superare le sfide più comuni attraverso i servizi di certificazione dei sistemi di gestione.
ISO/IEC 27017 Controlli specifici per il Cloud
ISO 27017 introduce 7 controlli supplementari a quelli previsti dall’Allegato A della ISO 27001 e ne approfondisce 37 di quelli esistenti.
I pilastri tecnici della ISO/IEC 27017:
- CDL 6.3.1 (allineamento reti): controllo che richiede che la gestione della sicurezza tra rete virtuale e fisica del provider sia coerente, prevenendo vulnerabilità derivanti da configurazioni errate del hypervisor.
- Isolamento Multi-tenant: fondamentale per fornitori SaaS/PaaS: lo standard impone requisiti rigorosi relativi alla segregazione logica dei dati. Ovvero, non è sufficiente che i dati siano separati; secondo le linee guida, deve essere garantito che un utente non possa influenzare le performance o la sicurezza di un altro attraverso side-channel attacks (attacchi a canali laterali, ovvero categoria di attacchi informatici che si concentrano su informazioni non direttamente collegate all’analisi matematica del sistema bensì a dati derivanti da consumo energetico, tempi di esecuzione, emissioni elettromagnetiche, ecc..).
- Ciclo di vita dei dati: vengono specificati i protocolli per la rimozione sicura dei dati (de-provisioning), assicurando che i residui digitali non rimangano in backup obsoleti.
ISO/IEC 27018 Protezione dei Dati Personali nel Cloud Pubblico
Se le linee guida ISO 27017 riguardano l’infrastruttura, ISO 27018 si concentra invece sul dato.
Si tratta del primo standard internazionali focalizzato sui dati personali nel cloud pubblico e agisce come un vero e proprio manuale operativo per il GDPR.
Tecnicamente, lo standard proibisce al provider di utilizzare i dati caricati dal cliente per finalità diverse da quelle contrattuali (es. data mining per scopi pubblicitari). In conformità con le best practice, la norma impone al provider l’obbligo di comunicare l’esatta geolocalizzazione dei data center e l’identità di eventuali sub-responsabili del trattamento.
Relativamente alle chiavi crittografiche, ISO 27018 richiede controlli rigidi e incoraggia l’uso di HSM (Hardware Security Modules) per garantire che nemmeno l’amministratore del sistema del provider possa accedere ai dati in chiaro.
Sistema di Gestione ISO 27001, ISO 27017 e ISO 27018: sicurezza integrata
L’integrazione delle due estensioni con il Sistema di Gestione per la Sicurezza delle Informazioni conforme alla ISO 27001, permette di creare un sistema integrato che riduce le ridondanze operative e assicura una sicurezza data-centrica e orientata al servizio.
Molti dei controlli della ISO 27017 e ISO 27018 sono espansioni dirette dell’Allegato A della ISO 27001. In un sistema integrato, è possibile utilizzare un’unica matrice di controllo anziché tre framework separati.
Ad esempio, il controllo sull’accesso logico viene configurato una sola volta includendo le specifiche multi-tenant della 27017 e i vincoli di accesso alle PII della 27018.
Allo stesso modo, un unico Risk Assessment permette di valutare contemporaneamente le minacce infrastrutturali e quelle specifiche del cloud. Ciò evita buchi di sicurezza tra diversi ambienti. La compliance, inoltre, potrà essere automatizzata. Infatti, utilizzando strumenti di Cloud Security Posture Management (CSPM), i tecnici potranno mappare configurazioni di AWS, Azure o Google Cloud direttamente sui requisiti integrati e monitorare la conformità in tempo reale.
Richiedi supporto a professionisti esperti
Contattaci per ricevere maggiori informazioni.
Cosa cambia durante gli audit con l’integrazione di ISO 27017 e ISO 27018?
L’audit di un Sistema Integrato è generalmente più denso ma estremamente più efficiente per l’organizzazione sottoposta a verifica di conformità.
L’Organismo di Certificazione, come AS&C, verifica contemporaneamente i requisiti.
Se un processo di crittografia è conforme alla 27018, lo è automaticamente anche per la ISO 27001. Le evidenze tecniche soddisfano dunque più norme contemporaneamente. Ciò riduce drasticamente il carico di lavoro di audit per il personale IT, che deve preparare i set di dati una sola volta.
La conseguenza dell’efficienza del processo è una riduzione dei costi per l’impresa oggetto di certificazione in quanto vengono ottimizzate le giornate/uomo e non solo:
- Con la ISO 27018 dimostrerà al compiance all’Art. 32 del GDPR e faciliterà il lavoro del DPO.
- Essere certificati con le estensioni cloud permette di superare istantaneamente le fasi di due diligence richieste dai grandi clienti;
- Gli stakeholders sono assicurati relativamente alla questioni di gestione della sicurezza e l’organizzazione sarà in grado di restituire un’immagine solida verso l’esterno, dimostrando un impegno concreto verso la sicurezza.
Dott. Alessandro Pace
Lead Auditor AS&C
Il commento del Lead Auditor
Nel contesto cloud, ISO/IEC 27001 è la base, ma ISO/IEC 27017 e ISO/IEC 27018 sono ciò che rende la sicurezza realmente efficace e credibile. Le estensioni colmano il gap operativo della 27001, chiarendo le responsabilità nel modello shared responsibility e garantendo una protezione verificabile dei dati personali in cloud pubblico.
Integrarle in un unico Sistema di Gestione consente di ridurre rischi, costi e complessità, migliorando al contempo l’efficacia degli audit e la fiducia di clienti e stakeholder.
Hai bisogno di supporto?
I nostri esperti hanno le competenze necessarie per aiutarti a superare le sfide più comuni attraverso i servizi di certificazione dei sistemi di gestione.
P.IVA: SM28002 - All Rights Reserved
Privacy Policy – Cookie Policy | Design: papress