ISO27017云服务信息安全管理体系

一、ISO/IEC 27017是什么?

ISO/IEC 27017简称云服务信息安全认证"。ISO/IEC 27017是有关《信息技术-安全技术-基于ISO/IEC 27002的云服务信息安全控制的实施规程》的国际标准。该标准提供了适用于提供和使用云服务的信息安全控制指南，包括如下方面:

①ISO/IEC 27002标准中有关控制的附加实施指南。

②带有具体涉及云服务实施指南的附加控制。

二、ISO/IEC 27017的适用性

ISO27017认证适用于云服各提供商和云服各空户，ISO/IEC 27017标准与ISO/IEC 27001系列标准配合使用，为云服务提供商和云服务客户提供了加强控制。ISO/IEC 27017标准阐明了云服务提供商和云服务客户双方在帮助确保云服务安全可靠方面所扮演的角色和所承担的责任。

三、ISO27017与IS027001系列标准之间的关系

ISO27017是基于ISO27001的增强版本，旨在为云服务提供商和云服务客户提供增强的控制能力,从而有助于让云服务与传统信息系统一样安全可靠。

ISO27017是基于ISO27001的关系

ISO/IEC 27017标准不仅提供了ISO/IEC 27002标准中37个控制基于云服务的指导方针，而且还介绍了7个全新的云服务控制措施，以解决以下问题:

1.负责云服务提供商和云客户之间关系的人是谁

2.当合同终止时，资产的移除/归还

3.客户虚拟环境的保护和分离

4.虚拟机配置

5.与云环境相关的管理操作和程序

6.云客户监控云中活动

7.虚拟和云网络环境的对接

ISO 27017和ISO 27018都是基于ISO27002标准，并针对适用于公有云个人可识别信息(PI)的ISO27002控制体系提供了实施指南。两个标准都是基于ISO27001延伸。

ISO 27017提出比较多的改变安全控制。

ISO 27018则是提出比较多新增安全控制。

ISO27001因为是基础的规范，所以在进行ISO27017 or ISO27018之前，必须先经过基本的ISO27001认证。