ISO/IEC 27017

Ce que la norme couvre

• Modèles de responsabilité partagée CSP / client.
• Contrôles d'administration, isolation et gestion des tenants.
• Surveillance des services cloud et gestion des changements.
• Exigences de transparence contractuelle sur sécurité et incidents.

Ce que la norme ne couvre pas seule

• Ne remplace pas les exigences de continuité (22301) ni de gestion fournisseurs (27036).
• Doit être complétée par des exigences contractuelles et techniques internes.
• Ne traite pas à elle seule l'ensemble des enjeux privacy (27701).

Livrables attendus en audit

• Matrice responsabilité partagée par service cloud critique.
• Exigences sécurité cloud intégrées aux contrats et SLA.
• Plan de contrôle des accès privilégiés et de supervision cloud.

Indicateurs utiles

• % de services cloud critiques avec matrice de responsabilité validée.
• % de comptes privilégiés cloud couverts par MFA et revue périodique.
• Nombre d'écarts contractuels cloud non corrigés.

Usage dans Varden Auditor

• Dimension clé des modules sécurité technique et dépendances.
• Référence pour la qualification des risques cloud dans Varden Auditor.
• Appui aux recommandations de hardening et gouvernance SaaS/IaaS.

Normes liées