Le rôle de lISO 27017 dans la gestion des risques liés aux tiers
Le rôle de l'ISO 27017 dans la gestion des risques liés aux tiers
À mesure que les organisations continuent de migrer leurs données les plus sensibles vers le cloud, les frontières traditionnelles du réseau interne ont disparu. Aujourd'hui, la posture de sécurité d'une entreprise est inextricablement liée à la sécurité de ses partenaires. Chez iExperts, nous avons constaté que de nombreuses organisations s'appuient uniquement sur une certification ISO 27001 standard lors de l'évaluation des fournisseurs. Cependant, bien que l'ISO 27001 soit une référence absolue, elle ne traite pas explicitement du modèle unique de responsabilité partagée du cloud. C'est là que l' ISO 27017 devient une composante critique de votre stratégie de gestion des risques liés aux tiers (TPRM).
Combler l'écart des contrôles cloud
L'ISO 27017 agit comme une extension spécialisée de l' ISO/IEC 27001:2022, fournissant des contrôles de sécurité supplémentaires spécifiquement conçus pour les fournisseurs de services cloud et les clients de services cloud. Dans un contexte TPRM, cette norme vous permet de regarder au-delà de la gestion générale et de vous concentrer sur les nuances techniques des environnements SaaS et PaaS. En auditant les fournisseurs par rapport à ces contrôles spécifiques au cloud, iExperts aide ses clients à s'assurer que leurs partenaires gèrent des risques tels que la fuite de données sur une infrastructure partagée et l'accès administratif inapproprié.
Livrables clés dans un audit ISO 27017
Lorsque nos consultants effectuent une évaluation de fournisseur, nous nous concentrons sur des livrables spécifiques clarifiés par l'ISO 27017. Ceux-ci sont essentiels pour un profil de risque robuste :
- Matrice de responsabilité partagée
- Procédures de retrait des actifs
- Isolation de l'environnement virtuel
- Divulgation de l'alignement des données
Intégrer les normes dans les flux de travail des fournisseurs
Une TPRM efficace ne consiste pas seulement à collecter des certificats ; il s'agit de vérifier la mise en œuvre des contrôles. Les organisations devraient exiger que leurs fournisseurs à haut risque démontrent leur conformité dans les domaines spécifiques au cloud suivants :
- Gestion de l'identité et des accès : S'assurer que le fournisseur utilise l'authentification multi-facteurs pour tout accès administratif dorsal à vos données.
- Gestion du changement : Vérifier que le fournisseur communique les changements dans l'architecture cloud qui pourraient avoir un impact sur votre posture de sécurité.
- Coordination de la réponse aux incidents : Établir comment le fournisseur collaborera avec votre équipe en cas de violation dans son infrastructure.
"Le risque fournisseur n'est plus une préoccupation périphérique ; c'est un risque commercial central. L'ISO 27017 fournit le langage spécifique et le cadre technique nécessaires pour tenir les fournisseurs de cloud responsables de la sécurité des données que nous leur confions."
Conseil d'expert
Lors de l'examen de la documentation de conformité d'un fournisseur, recherchez la Déclaration d'Applicabilité (SoA). Un fournisseur peut être certifié ISO 27001, mais s'il n'a pas inclus les contrôles ISO/IEC 27017 dans son périmètre, il se peut qu'il manque des protections critiques spécifiques au cloud. iExperts peut vous aider à réaliser une analyse d'écart approfondie de ces SoA lors de votre processus d'approvisionnement.
En conclusion, à mesure que la dépendance envers le SaaS et le PaaS s'accroît, la sophistication de vos processus d'audit doit également augmenter. L'utilisation de l'ISO 27017 au sein de votre cadre TPRM garantit que votre organisation garde une longueur d'avance sur les menaces natives du cloud tout en maintenant sa conformité aux normes internationales.
