ISO 27017 Keamanan Cloud: Panduan Standar & Evaluasi

ISO 27107 keamanan cloud membantu organisasi memperkuat perlindungan informasi dalam lingkungan cloud computing melalui panduan pengendalian keamanan yang lebih spesifik. Standar ini melengkapi ISO 27001 dengan memberikan panduan tambahan bagi penyedia dan pengguna layanan cloud dalam mengelola risiko keamanan informasi. 

Penerapan standar ISO 27107 membantu perusahaan memahami pembagian tanggung jawab keamanan, mengendalikan akses, melindungi data, serta mengelola risiko yang muncul dari penggunaan layanan cloud. Dengan menerapkan panduan yang relevan, organisasi dapat meningkatkan keamanan cloud secara lebih terstruktur sekaligus mendukung kepatuhan terhadap kebutuhan keamanan informasi.

Pelajari layanan konsultasi dan implementasi ISO 27017 disini.

Apa Itu ISO 27017 dan Mengapa Penting bagi Pengguna Cloud?

ISO/IEC 27017 merupakan standar internasional yang berisi code of practice atau pedoman penerapan kontrol keamanan informasi untuk layanan cloud computing. Dikembangkan berdasarkan ISO/IEC 27002 dengan penambahan kontrol yang dirancang khusus untuk mengatasi risiko keamanan pada lingkungan cloud. Standar ini memberikan panduan yang lebih spesifik mengenai pengamanan layanan cloud, mulai dari pengelolaan data, pengendalian akses, hingga pembagian tanggung jawab antara penyedia dan pengguna layanan.

Hubungan ISO 27017 dengan ISO 27001 & ISO 27018

ISO 27001, ISO 27017, dan ISO 27018 saling melengkapi dalam membangun keamanan informasi, khususnya pada lingkungan cloud computing. 

• ISO 27001 menjadi pondasi dalam penerapan Sistem Manajemen Keamanan Informasi (SMKI), 
• ISO 27017 memberikan panduan pengendalian keamanan yang lebih spesifik untuk layanan cloud.
• ISO 27018 berfokus pada perlindungan personally identifiable information (PII) atau data pribadi yang diproses di lingkungan cloud publik. 

Pelajari layanan konsultasi dan implementasi ISO 27018 disini. 

Dengan mengintegrasikan ketiganya, organisasi dapat meningkatkan keamanan layanan cloud, menjaga kerahasiaan informasi, sekaligus meningkatkan kepercayaan pelanggan dan kepatuhan terhadap berbagai regulasi perlindungan data. 

Kontrol Keamanan Utama dalam ISO 27017

ISO/IEC 27017 keamanan cloud menambahkan kontrol keamanan yang dirancang khusus untuk mengatasi risiko pada lingkungan cloud computing. Standar ini memberikan panduan teknis agar penyedia dan pengguna layanan cloud dapat menerapkan kontrol keamanan secara lebih efektif. 

Beberapa kontrol utama dalam standar ISO 27017 meliputi:

• Pembagian Peran dan Tanggung Jawab (CLD.6.3.1)
  Menetapkan Shared Responsibility Model yang menjelaskan tanggung jawab penyedia dan pelanggan dalam mengelola keamanan cloud, seperti enkripsi data, pencatatan log, dan pembaruan sistem.
• Penghapusan Aset Cloud (CLD.8.1.5)
  Memastikan data pelanggan dikembalikan atau dihapus secara aman ketika layanan atau kontrak berakhir untuk mencegah kebocoran data.
• Pemisahan Lingkungan Virtual (CLD.9.5.1)
  Mengharuskan adanya isolasi antar lingkungan virtual sehingga data dan aplikasi setiap pelanggan tetap terlindungi dari akses pihak lain.
• Konfigurasi Aman Virtual Machine (CLD.9.5.2)
  Mewajibkan setiap virtual machine menggunakan konfigurasi keamanan yang telah ditetapkan sebelum digunakan di lingkungan produksi.
• Keamanan Akun Administrator (CLD.12.1.5)
  Mengatur perlindungan akun dengan hak akses istimewa melalui autentikasi multi-faktor (MFA), pembatasan akses, dan pemantauan aktivitas administrator.
• Pemantauan Layanan Cloud (CLD.12.4.5)
  Mendorong penyedia dan pelanggan untuk memantau log aktivitas serta mendeteksi insiden keamanan secara berkelanjutan.
• Keselarasan Keamanan Jaringan (CLD.15.1.3)
  Memastikan kebijakan keamanan diterapkan secara konsisten pada jaringan lokal (on-premises) maupun jaringan cloud sehingga perlindungan tetap terjaga di seluruh infrastruktur.

Baca juga: Pengelolaan Kontrol Akses dalam ISO 27001

Kapan Perusahaan Anda Membutuhkan ISO 27017? 

Implementasi ISO/IEC 27017 keamanan cloud menjadi pilihan yang tepat bagi perusahaan yang mulai mengandalkan layanan cloud computing untuk menyimpan, mengelola, atau memproses data bisnis. 

Berikut beberapa checklist evaluasi mandiri yang dapat digunakan untuk menilai kebutuhan implementasi ISO 27017:

• Perusahaan menggunakan layanan cloud seperti AWS, Microsoft Azure, atau Google Cloud Platform (GCP).
• Data pelanggan atau informasi penting perusahaan disimpan di lingkungan cloud.
• Pembagian tanggung jawab keamanan yang jelas antara penyedia layanan cloud dan perusahaan.
• Prosedur pengelolaan akses, konfigurasi, dan pemantauan keamanan cloud.
• Perusahaan harus memenuhi persyaratan keamanan dari pelanggan, mitra bisnis, atau regulator.
• Sedang merencanakan implementasi atau telah memiliki sertifikasi ISO 27001 dan ingin memperkuat keamanan layanan cloud.
• Ingin meningkatkan kepercayaan pelanggan terhadap pengelolaan data di lingkungan cloud.

Langkah-Langkah Penerapan ISO 27017 di Perusahaan

Penerapan ISO/IEC 27017 dilakukan setelah atau bersamaan dengan implementasi ISO 27001, karena standar ini merupakan add-on yang melengkapi Sistem Manajemen Keamanan Informasi (SMKI) dengan kontrol khusus untuk lingkungan cloud computing. 

Pelajari layanan konsultasi dan implementasi ISO 27001 disini.

Secara umum, proses penerapannya meliputi:

• Gap Analysis & Penentuan Scope
  Mengidentifikasi kesenjangan antara kondisi keamanan cloud saat ini dengan persyaratan ISO 27017 serta menentukan ruang lingkup implementasi.
• Risk Assessment Cloud
  Melakukan identifikasi dan penilaian risiko yang berkaitan dengan penggunaan layanan cloud, termasuk pembagian tanggung jawab antara penyedia dan pengguna.
• Penerapan Kontrol Tambahan ISO 27017
  Mengimplementasikan kontrol keamanan khusus cloud, seperti Shared Responsibility Model, pengelolaan aset cloud, pemantauan layanan, dan keamanan lingkungan virtual.
• Audit Internal
  Memastikan seluruh kontrol telah diterapkan secara efektif dan mengidentifikasi temuan yang perlu diperbaiki sebelum audit sertifikasi.
• Audit Sertifikasi
  Lembaga sertifikasi melakukan penilaian terhadap penerapan ISO 27001 beserta kontrol tambahan ISO 27017. Apabila seluruh persyaratan terpenuhi, perusahaan akan memperoleh sertifikasi ISO/IEC 27017.

Pastikan kontrol keamanan cloud di perusahaan Anda telah sesuai dengan praktik terbaik dan persyaratan ISO/IEC 27017. Evaluasi sejak dini membantu mengidentifikasi potensi risiko sebelum berdampak pada bisnis.

Layanan Konsultasi ISO 27001 & ISO 27017 Solusmart Consulting

Solusmart Consulting mendampingi perusahaan dari tahap gap analysis hingga sertifikat ISO 27001 terbit, mencakup lima tahap: persiapan, dokumentasi, implementasi, audit internal, dan pendampingan audit sertifikasi.

Sebagai konsultan sistem manajemen profesional, kami membantu organisasi meningkatkan tata kelola, keamanan informasi, dan kesiapan sertifikasi ISO, termasuk kontrol keamanan cloud tambahan dalam ISO 27017 melalui pendampingan terarah sesuai kebutuhan bisnis:

Jadwalkan Sesi Konsultasi & Gap Analysis Keamanan Cloud

Dapatkan pendampingan implementasi ISO 27001 & ISO 27017 hingga persiapan sertifikasi, disesuaikan dengan kondisi dan kebutuhan bisnis Anda.