Che cosa riguarda
ISO/IEC 27017 integra i controlli ISO/IEC 27002 con indicazioni per i servizi cloud. Aiuta a chiarire le misure attribuite al cliente, al fornitore e alle altre parti coinvolte.
Controlli di sicurezza specifici per clienti e fornitori cloud, con attenzione alle interfacce e alla condivisione delle responsabilità.
A chi si rivolge
Fornitori e utilizzatori di servizi cloud pubblici, privati o ibridi, nei modelli di servizio pertinenti.
Perché intraprendere questo percorso
Possibili benefici di una gestione efficace: non risultati garantiti dal solo rilascio di un certificato o di una dichiarazione.
01
Responsabilità condivise
Ridurre le zone d’ombra tra le parti.
02
Controlli contestualizzati
Adattare la sicurezza al servizio cloud.
03
Relazioni trasparenti
Rendere verificabili impegni e interfacce.
I temi da presidiare
Una lettura orientativa degli ambiti da considerare. I requisiti applicabili e il campionamento sono definiti sulla norma e sullo schema pertinenti.
Modello cloud
Servizi, ruoli e confini.
Responsabilità
Ripartizione dei controlli fra le parti.
Sicurezza operativa
Applicazione delle misure nel cloud.
Gestione del rischio
Coerenza con requisiti e valutazioni.
Dalla gestione alle evidenze
Campioni documentali e informazioni da esaminare, da selezionare in funzione del perimetro e dei rischi dell’incarico.
01. Un contratto cloud confrontato con una matrice delle responsabilità operative.
02. La gestione di un accesso privilegiato nel servizio selezionato.
03. Un’attività di uscita dal servizio esaminata rispetto alla restituzione delle informazioni.
04. La disponibilità delle evidenze del fornitore per i controlli affidati a terzi.
Come si svolge il percorso
01
Identificare il servizio cloud
Si chiariscono servizi, ruoli del cliente e del fornitore, responsabilità condivise, regioni e informazioni trattate.
02
Concordare il criterio
Si definisce l’utilizzo della linea guida all’interno del sistema di sicurezza e dello specifico schema di attestazione eventualmente richiesto.
03
Valutare controlli ed evidenze
Il campionamento mette in relazione accordi, architetture, configurazioni e registrazioni. L’esame considera anche i confini delle responsabilità del fornitore.
04
Formalizzare l’esito
L’esito descrive il criterio effettivamente utilizzato e il perimetro verificato. Non va presentato come una certificazione autonoma universale del sistema cloud.
Durata e modalità non sono fisse: dipendono dal perimetro, dalla complessità e dalle regole applicabili. Il rilascio è subordinato a un esito favorevole della valutazione e della decisione.
Da sapere prima di iniziare
La pagina descrive una valutazione di controlli cloud. Non promette una certificazione autonoma accreditata per qualunque servizio.
Domande frequenti
È uno standard autonomo di sistema?
È un riferimento per controlli cloud, non una norma autonoma di requisiti di sistema equivalente a ISO/IEC 27001.
Vale soltanto per il cloud pubblico?
No. Comprende anche cloud privati e ibridi, con adattamenti al contesto.
Quale attestazione si può ottenere?
L’offerta deve precisare schema, rapporto con ISO/IEC 27001, perimetro e natura dell’attestazione disponibile.
L’organismo può progettare il nostro sistema?
La valutazione indipendente non va confusa con la consulenza. L’organizzazione resta responsabile del proprio sistema e delle proprie informazioni; le eventuali attività formative devono rispettare le condizioni di imparzialità applicabili.
Edizione e riferimenti
ISO/IEC 27017:2026
Edizione 2026 pubblicata, successiva alla 2015. Il riferimento dell’incarico va confermato con lo schema applicabile.
Riferimenti consultati il 9 ottobre 2026. Prima dell’incarico sono da confermare edizione applicabile, disposizioni di transizione e condizioni dello schema. Le sintesi non sostituiscono il testo ufficiale della norma.
Questa scheda è informativa e non attribuisce automaticamente un accreditamento ad ACM CERT per il servizio descritto. L’organismo competente, lo schema, il campo di accreditamento pertinente e le condizioni del servizio sono identificati nell’offerta.
