ISO IEC 27017-2015.pdf

简介：
ISOIEC 27017-2015 是一份国际标准文档，在云计算服务信息安全控制实践领域制定了基于 ISOIEC 27002 的行为规范。该标准由国际标准化组织联合国际电工委员会共同编制，旨在通过强化云服务信息安全管理水平，提升整个云服务环境的信息安全防护能力。 标准在2015年12月15日正式发布。该标准遵循国际机构的出版规范，系自JTC1委员会的工作结晶，该组织专注于推动信息技术领域的国际标准化。JTC1委员会致力于制定全球性标准，并通过技术委员会（每个组织都设有的专业小组，专注于特定的技术活动领域）参与国际合作，为全球标准化工作提供专业化支持。 云计算作为一项新兴信息科技服务模式，在各相关领域快速普及并得到广泛应用。然而，该技术体系也面临着一系列安全挑战，包括数据完整性风险、敏感信息暴露风险以及服务中断等严重威胁。为此，ISOIEC 27017-2015标准的制定与实施旨在为云计算服务提供者及用户制定一套规范性操作指南，在应用信息安全控制实践准则（ISOIEC 27002）框架下，确保云服务的安全管理体系的有效构建、执行和持续改进。ISOIEC 27017-2015 标准为云服务特有的安全控制提供了指导，并详细说明了在以下领域需要考虑的控制措施： 1. 实施相应的身份识别技术和权限管理措施； 2. 针对关键系统实施相应的物理安全补充控制措施； 3. 确保数据在存储、传输和处理过程中始终处于保密状态，并且保证其完整性不受破坏，同时确保数据能够有效访问并及时获取； 4. 对软件应用和服务生命周期进行规范化管理，包括开发阶段的规划、运行过程中的监控以及退役阶段的回收等环节； 5. 建立完善的事件管理系统，对发生的安全事件实施快速响应和有效的应对措施。 此外，该指导要求云服务提供者对业务连续性进行管理和保障，并且必须制定相应的恢复计划，以便于实现服务的持续运营和灾难后快速恢复。该标准不仅涵盖云服务提供者和客户群体，还旨在促进双方在处理云服务时共同遵守的国际规范与最佳实践。它清晰地向服务提供者和客户传达了一个详细的说明，指导他们在使用过程中采取措施来降低潜在的安全风险，并确保安全操作的有效性。 该标准的发展背景及其制定过程建立在广泛的技术委员会和国际组织的合作基础之上，这些合作涵盖政府机构与非政府实体之间的紧密互动，并且均遵循ISO和IEC的相关指导原则。基于这一共同目标，在信息技术领域内信息安全议题始终处于核心关注范围内。作为国际标准化体系的重要组成部分，该标准的发布对全球信息安全管理的发展具有重要意义；其发布对全球信息安全管理体系的发展具有重要影响。 该标准的发布对全球信息安全管理的发展具有重要意义；其发布对全球信息安全管理体系的发展具有重要影响。 在信息技术领域内，信息安全始终是核心议题之一。作为国际标准化体系的重要组成部分，ISOIEC 27017 的发布对于构建安全可靠的全球信息管理系统至关重要。此外，该标准为云服务市场提供了稳定性和安全性作为国际参考。 在实施ISOIEC 27017-2015标准时，无权复制或以任何形式或手段使用该标准的所有权利均受严格限制，这不仅包括电子或机械复制、复印以及通过互联网或内部网络发布等行为。如需使用标准的任何部分，则必须提前向ISO组织或其对应国家所属的ISO成员国机构提出书面许可申请。可从ISO版权办公室获取有关许可申请的信息，其中包括具体的邮寄地址、电话、传真、电子邮件地址及网站链接等详细联系方式。须知此标准乃受版权法保护之文件，其内容受法律所约束。此规定旨在保障标准文档之完整性和版权尊重，同时确保制作者及其相关方权益均获合法保障。于具体实施或应用时，任何参与该标准制定之人需严格遵守其原则及规定。