I dati archiviate nel mondo, secondo International Data Corp, sarà nel 2025 pari a 175 zettabyte (simbolo ZB).
1 ZB equivale a un miliardo di miliardi di Gigabyte.
Una mole di dati enorme prevalentemente archiviata nel cloud, attraverso il quale le organizzazioni di qualunque dimensione, risolvono i loro problemi di business continuity, disaster recovery, back up, dematerializzazione dei processi.
La ISO/IEC 27017 risolve la prima preoccupazione, per chi utilizza servizi cloud, verificandone la piena sicurezza.
“In realtà non esiste il cloud, è solo il computer di qualcun altro”
Un cambiamento di configurazione, una modifica del codice, un semplice errore umano possono produrre ripercussioni invasive sia per il provider che per il cliente.
I nuovi controlli introddotti dalla 27017
La 27017 e introduce controlli avanzati specifici per i servizi cloud, incrementando i 37 controlli previsti dalla ISO/IEC 27002 con 7 ulteriori elementi di verifica, pensati appositamente per il cloud service:
- Condivisione e suddivisione delle responsabilità in carico a fornitore e clienti, riguardo ai diversi ruoli di sicurezza
- Rimozione o riconsegna degli assets alla cessazione di un contratto
- Protezione e separazione degli ambienti virtuali dei diversi clienti
- Configurazione delle Virtual Machine
- Responsabilità del cliente nel documentare e monitorare procedure connesse con l’ambiente cloud
- Funzionalità di monitoraggio da parte del cliente delle attività all’interno dell’ambiente cloud
- Configurazioni di allineamento dell’ambiente di rete virtuale con la policy di sicurezza della rete fisica
Lineguida ISO/IEC 27017
La ISO/IEC 27017, essendo una Linea guida, produce un’integrazione a un certificato ISO/IEC 27001 esistente.
Se sei un cloud provider in questo mercato dominato da pochi big player non puoi non fare a meno della 27017.
Ti permette di avere le medesime certificazioni di giganti quali Google, differenziandoti rispetto ad altri cloud service provider più piccoli o meno accorti.
Aumentando trasparenza e credibilità, ispirerai maggior fiducia offrendo maggiori garanzie sulla sicurezza di dati e informazioni gestiti da te.
Inoltre in caso di ispezioni del Garante per la Privacy o di DataBreach, la certificazione proteggerà la reputazione del tuo brand, riducendo il rischio di un ritorno d’immagine negativo.
Infine ti aiuta a far crescere il tuo business agevolandoti in fase di accreditamento come fornitore di player di primaria importanza.
La soluzione GRC
Ambiguità dei ruoli: La definizione di ruoli e responsabilità è cruciale relativamente a controllo degli accessi e manutenzione delle infrastrutture, per evitare controversie commerciali e legali.
Proprietà degli Assets. Lo standarsd suggerisce che ci sia un inventario degli assets memorizzati e definisce i parametri per la loro eliminazione sicura.
Crittografia: È presente anche una linea guida relativa alla crittografia, la cui responsabilità ricade congiuntamente su provider e cliente. Entrambe le parti devono garantirsi reciprocamente sulla sicurezza della rete e sulla compatibilità dei due sistemi.
Errore Umano: Il punto debole di un sistema sovente è il fattore umano. Lo standard delega al fornitore le responsabilità di formazione e informazione, affinchè venga creato il necessario grado di consapevolezza.
