Wdrożenie ISO/IEC 27017

Analiza stanu obecnego

Przeprowadzamy ocenę zgodności obecnych praktyk, konfiguracji, dokumentacji i mechanizmów nadzoru z ISO/IEC 27017:2026.

Analiza obejmuje między innymi:

• zakres usług oraz modele wdrożenia i świadczenia chmury,
• role klienta i dostawcy usług chmurowych,
• podział odpowiedzialności za zabezpieczenia,
• architekturę, zasoby i przepływy informacji,
• zarządzanie tożsamością i dostępem uprzywilejowanym,
• konfigurację i separację środowisk,
• monitorowanie, rejestrowanie i reagowanie na incydenty,
• zarządzanie zmianą, podatnościami i ciągłością,
• umowy, dostawców i zakończenie korzystania z usług.

Rezultatem jest raport przedstawiający zidentyfikowane luki, ich znaczenie oraz rekomendowaną kolejność działań.

Określenie zakresu wdrożenia

Wspieramy organizację w ustaleniu usług, procesów, platform, systemów, lokalizacji i stron objętych wdrożeniem.

Zakres uwzględnia model IaaS, PaaS lub SaaS, rodzaj chmury, role organizacji, granice techniczne i organizacyjne, podwykonawców, lokalizację danych oraz powiązanie z zakresem SZBI zgodnego z ISO/IEC 27001.

Mapa odpowiedzialności

Porządkujemy odpowiedzialności klienta, dostawcy i pozostałych stron dla poszczególnych usług i zabezpieczeń.

Mapa obejmuje zarządzanie tożsamością, konfigurację, aktualizacje, ochronę danych, rejestrowanie zdarzeń, monitorowanie, kopie zapasowe, reagowanie na incydenty, ciągłość, usuwanie zasobów oraz dostarczanie dowodów z realizacji kontroli.

Ocena ryzyka usług chmurowych

Wspieramy organizację w identyfikacji i ocenie ryzyka wynikającego z dostarczania lub wykorzystywania usług chmurowych.

Proces obejmuje:

• identyfikację informacji, usług, zasobów i zależności,
• analizę zagrożeń związanych ze współdzieleniem infrastruktury,
• ocenę ryzyka błędnej konfiguracji i nieuprawnionego dostępu,
• ocenę zależności od dostawcy i podwykonawców,
• analizę dostępności, przenoszenia i usuwania danych,
• wybór sposobu postępowania z ryzykiem,
• powiązanie wyników z oceną ryzyka SZBI.

Dobór i projekt zabezpieczeń

Dobieramy zabezpieczenia na podstawie roli organizacji, wyników oceny ryzyka, wymagań klientów oraz zobowiązań prawnych, regulacyjnych i umownych.

Projekt obejmuje dodatkowe wytyczne chmurowe do zabezpieczeń ISO/IEC 27002 oraz zabezpieczenia odnoszące się bezpośrednio do usług chmurowych. Ustalenia są dokumentowane w powiązaniu z Deklaracją Stosowania SZBI albo w odrębnej macierzy kontroli chmurowych.

Opracowanie dokumentacji

Przygotowujemy dokumentację potrzebną do zarządzania bezpieczeństwem usług chmurowych. W zależności od uzgodnionego zakresu obejmuje ona:

• zakres i model odpowiedzialności,
• inwentaryzację usług, zasobów i przepływów danych,
• rejestr ryzyka chmurowego,
• macierz zgodności z ISO/IEC 27017,
• wymagania bezpieczeństwa dla umów i dostawców,
• standardy bezpiecznej konfiguracji,
• zasady administracji i dostępu uprzywilejowanego,
• monitorowanie, rejestrowanie i obsługę incydentów,
• zarządzanie zmianą, podatnościami i ciągłością,
• procedurę zakończenia usługi, zwrotu i usunięcia danych.

Jeżeli organizacja posiada już dokumentację SZBI lub standardy chmurowe, poddajemy je przeglądowi i dostosowujemy zamiast tworzyć równoległe rozwiązania.

Wdrożenie zabezpieczeń chmurowych

Wspieramy zespoły bezpieczeństwa, chmurowe i operacyjne w przełożeniu przyjętych wymagań na rozwiązania organizacyjne i techniczne.

Wsparcie obejmuje:

• ustanowienie właścicieli działań i terminów,
• wdrożenie modelu współdzielonej odpowiedzialności,
• ustanowienie bezpiecznych wzorców konfiguracji,
• uporządkowanie tożsamości i dostępów uprzywilejowanych,
• wdrożenie rejestrowania, monitorowania i alertowania,
• ustanowienie zasad separacji środowisk i zasobów,
• integrację obsługi incydentów i podatności,
• wdrożenie nadzoru nad dostawcami i zmianami,
• określenie sposobu gromadzenia dowodów.

Szkolenia i budowanie kompetencji

Przygotowujemy szkolenia dla kadry zarządzającej, zespołów bezpieczeństwa, architektów, administratorów, DevOps, właścicieli usług, zakupów oraz osób zarządzających relacjami z dostawcami.

Szkolenia obejmują podział odpowiedzialności, ocenę ryzyka, bezpieczną konfigurację, nadzór nad dostępem, monitorowanie, reagowanie na incydenty, wymagania umowne oraz gromadzenie dowodów zgodności.

Ocena zgodności z ISO/IEC 27017

Oceniamy zaprojektowanie i funkcjonowanie zabezpieczeń chmurowych w odniesieniu do zakresu usług, roli organizacji i wymagań ISO/IEC 27017:2026.

Ocena obejmuje przegląd dokumentacji i umów, rozmowy z właścicielami kontroli, weryfikację konfiguracji i zapisów, analizę dowodów działania zabezpieczeń oraz identyfikację niezgodności i obszarów wymagających doskonalenia.

Integracja z audytem SZBI

Przygotowujemy organizację do wykazania, że ryzyka i zabezpieczenia chmurowe zostały właściwie ujęte w SZBI, ocenie ryzyka, planie postępowania z ryzykiem i Deklaracji Stosowania.

Zakres obejmuje powiązanie wymagań z procesami ISO/IEC 27001, uporządkowanie dowodów oraz przygotowanie właścicieli zabezpieczeń do rozmów z audytorami.

Wsparcie w działaniach korygujących

Wspieramy organizację w analizie ustaleń audytowych, określeniu przyczyn niezgodności, przygotowaniu planu działań korygujących oraz zebraniu dowodów potwierdzających ich skuteczne zakończenie.