|
ISO/CEI 27017La norme ISO/CEI 27017:2015[1] du nom officiel « Technologies de l'information -- Techniques de sécurité -- Code de pratique pour les contrôles de sécurité de l'information fondés sur l'ISO/IEC 27002 pour les services du nuage[2] » traite des aspects de la sécurité de l'information du nuage (en anglais Cloud computing). HistoriqueLa 1re Édition de l’ISO 27017:2015 date de 2015. Cette norme a été définie conjointement avec la norme ISO/CEI 27018. Contenu de la normeCette norme donne des directives pour la sécurité de l’information et pour le contrôle applicable à la disposition et à l’utilisation de services du Cloud computing. Contenu globalLa norme ISO/CEI 27017:2015 fournit :
Contenu issu de la table des matièresVoici comment est détaillée la norme ISO/CEI 27017 :
Annexe Un ensemble de contrôle étendu du service Cloud Annexe B Références sur le risque de sécurité informatique lié au cloud computing La partie 2 contient : 2.1 Recommandations identiques International, 2.2 Références supplémentaires La partie 3 contient : 3.1 Termes définis ailleurs, 3.2 Abréviations La partie 4 contient : 4.1 Aperçu, 4.2 Relation fournisseur dans les services de cloud, 4.3 Relations entre les clients du service cloud et le fournisseur de services cloud, 4.4 Gérer les risques de sécurité de l'information dans les services cloud, 4.5 Structure de cette norme La partie 5 contient : 5.1 Direction de la gestion pour la sécurité de l'information La partie 6 contient : 6.1 Organisation interne, 6.2 Appareils mobiles et télétravail La partie 7 contient : 7.1 Avant l'emploi, 7.2 Pendant l'emploi, 7.3 Résiliation et changement d'emploi La partie 8 contient : 8.1 Responsabilité pour les actifs, 8.2 Classification de l'information, 8.3 Médias une manipulation La partie 9 contient : 9.1 Besoins professionnels du contrôle d'accès, 9.2 Gestion de l'accès des utilisateurs, 9.3 Responsabilités de l'utilisateur, 9.4 Contrôle d'accès au système et aux applications La partie 10 contient : 10.1 Contrôles cryptographiques La partie 11 contient : 11.1 Zones sécurisées, 11.2 Équipement La partie 12 contient : 12.1 Procédures et responsabilités opérationnelles, 12.2 Protection contre les logiciels malveillants, 12.3 Sauvegarde, 12.4 Enregistrement et surveillance, 12.5 Contrôle du logiciel opérationnel, 12.6 Gestion technique des vulnérabilités, 12.7 Considérations d'audit du système d'information La partie 13 contient : 13.1 Gestion de la sécurité du réseau, 13.2 Transfert d'information La partie 14 contient : 14.1 Exigences de sécurité des systèmes d'information, 14.2 Sécurité dans les processus de développement et de support, 14.3 Données de test La partie 15 contient : 15.1 Sécurité de l'information dans les relations avec les fournisseurs, 15.2 Gestion de la livraison des services aux fournisseurs La partie 16 contient : 16.1 Gestion des incidents et des améliorations de la sécurité de l'information La partie 17 contient : 17.1 Continuité de la sécurité de l'information, 17.2 Redondance La partie 18 contient : 18.1 Conformité avec la loi, 18.2 Revues de sécurité de l'information Les personnes concernéesISO/CEI 27017:2015 s'applique à tous les types et tailles d'organisations, y compris les entreprises publiques et privées, les entités gouvernementales et les organisations à but non lucratif qui fournissent des services de traitement de l'information en tant que processeurs PII via le cloud computing. De grandes entreprises ont déjà été certifiées 27017 telles que Google, Amazon Services Web[3], Orange ou encore OVH. Cependant, l'AFNOR[4] énonce que ces normes ne sont pas obligatoires pour une entreprise proposant des services de Cloud computing. Organismes délivrant les certifications
But de la norme ISO 27017Les données peuvent être distribuées par tous et toutes. Le client ne sait pas forcement où se trouvent ces dernières et qui est susceptible de les acquérir. Le cloud peut ainsi paraître non sécurisé. Il y a différents points sur lesquels il faut se concentrer autour des données : localisation, la réversibilité, le volet juridique. Un contrat pour se protéger du fournisseur peut être mis en place afin de maîtriser ses informations ou les récupérer. Les utilisateurs recherchent des informations sur la confidentialité, l’intégrité et la disponibilité de l’information. Ces derniers cherchent également à savoir comment les services sont contrôlés et comment ils sont appliqués. Le but principal est de rassurer les utilisateurs à travers la transparence entre fournisseurs et utilisateurs du cloud. Cette norme est donc présente pour sécuriser les données. Voir aussiArticles connexes
Liens externes
Notes et références
|
