ISO 27001

Parece que el futuro de la norma ISO 27017 como el de la norma ISO 27018 está bastante claro; estos se encargan de definir cada uno de los estándares de seguridad de mayor crecimiento en la industria actualmente, es decir, la computación en la nube. Se trata de una cuestión tan profunda y extensa que ambas normas mencionadas pueden llegar a lograr el mismo nivel de éxito que obtuvo la ISO 27001 y la ISO 27002.

¿Qué es la ISO 27017?

El nombre con el que se conoce a la norma ISO 27017 es “Código de práctica para los controles de seguridad de la información según la norma ISO 27002 para los servicios en la nube”, lo que implica que la norma está basada en los controles de seguridad que recoge la norma ISO 27002. Es decir, la norma ISO 27017 aporta diferentes controles de seguridad adicionales para la nube, los cuales no llega a cubrir correctamente la norma ISO 27002.

Principalmente, la norma ISO 27017 está orientada a la protección de la información de los servicios en la nube, mientras que por otro lado, la norma ISO 27018 está orientada en la protección datos personales en la nube.

Puesto que no se trata de una norma de gestión, y por lo tanto no lleva a cabo la certificación regular, numerosos organismos de certificación tienen en mente comenzar ya con la certificación de la norma ISO 27017, para lo que emitirán algún tipo de declaración de cumplimiento. Aquellas organizaciones que deseen certificarse en la norma ISO 27017 deben de hacerlo a través de la certificación de la norma ISO 27001 2013 y, posteriormente, como parte de la auditoría deberá aparecer algún tipo de declaración en la que se establezca o señale que se cumple con cada uno de los requisitos de la norma ISO 27017.

Grado de cambio de controles de seguridad en la nube en la norma ISO 27018

A continuación vamos a conocer que tipo nivel se recomienda en la norma ISO 27017 tomando como referencia a la ISO 27001:

La norma ISO 27017 recomienda distintos tipos de modificaciones en la mayor parte de las secciones de control, donde las mayores modificaciones van dirigidas a cuestiones del área de control de acceso:

9.2.1 Registro de usuarios y la cancelación del registro

9.2.2 Usuario

9.2.3 Gestión de acceso privilegiado

9.4.1 Información de restricción de acceso

9.4.4 Utilización de los programas de servicios públicos privilegiados

Si llevásemos a cabo una comparación entre la norma ISO 27017 y la norma ISO 27018 respecto a las modificaciones propuestas, podríamos observar que la ISO 27017 recomienda o propone un mayor número de modificaciones en los controles ya existentes, mientras que por el contrario la ISO 27018 propone nuevos controles.

Los nuevos controles de seguridad en la nube en la norma ISO 27017

La norma ISO 27017 recomienda siete nuevos controles cuya numeración se hace compatible con la estructura de la norma ISO 27001 2013:

• 1 Roles y responsabilidades compartidas dentro de un entorno de cloud computing
• 5 Remoción de los activos de los clientes de servicios cloud
• 1 Segregación en entornos informáticos virtuales
• 2 Endurecimiento de la máquina virtual
• 5 La seguridad operacional
• 5 Seguimiento de los servicios en la nube
• 4 Alineación de gestión de la seguridad de redes virtuales y físicas

Ante la variedad de normas que acerca de la seguridad en la nube, más compleja se convierte la tarea de la elección. De cualquier modo, la norma ISO 27001 2013 es una norma estándar básica idónea para cualquier tipo de organización que desee proteger su información, que continua siendo uno de los estándares más populares en todo el mundo, garantizando la gestión de la seguridad y siendo la única que puede certificarse. La norma ISO 27017 es, sin lugar a dudas, un gran atractivo para todas aquellas empresas que proporcionan servicios en la nube y desean englobar cada uno de los ángulos para alcanzar la seguridad en la nube. La norma ISO 27018 está más orientada hacia las empresas que utilizan todos los datos de carácter personal, y quieren garantizarse de que los datos se protegen de la mejor forma.

Software ISO 27001

El Software ISOTools Excellence para la norma ISO 27001, se encuentra capacitado para responder a numerosos controles para el tratamiento de la información gracias a las aplicaciones que contiene y que son totalmente configurables según los requerimientos de cada organización. Asimismo, este software permite la automatización del Sistema de Gestión de Seguridad de la Información.