ISO/IEC 27017: segurança em nuvem com papéis claros e prova auditada

Erro comum na implantação

Implemente sobre uma base 27001 — a 27017 é um conjunto de controles, não um sistema isolado;

Vale lembrar: a norma exige o que faz sentido para o porte e a complexidade da operação — sistema inchado costuma ser fragilidade, não virtude.

Dúvidas frequentes

Sou cliente de nuvem, não provedor. Faz sentido?

Sim — a norma foi escrita para os dois lados da relação. Para o cliente, ela organiza o que costuma ficar solto: saber exatamente o que é responsabilidade sua em cada serviço contratado (contas, acessos, configuração, dados) e o que é do provedor, exigir as evidências certas em contrato e manter seus ambientes configurados com segurança. A maioria dos incidentes de nuvem nasce de configuração errada do lado do cliente — certificar a gestão do seu uso de nuvem ataca exatamente esse risco.

Preciso da 27001 antes?

A 27017 é um conjunto de controles, não um sistema de gestão isolado — ela opera como extensão da 27001, que fornece a estrutura (riscos, auditorias, melhoria). Na prática, certifica-se o conjunto no mesmo ciclo: quem já tem 27001 acrescenta os controles de nuvem ao escopo e à Declaração de Aplicabilidade; quem parte do zero implanta tudo junto, com a nuvem como contexto central da avaliação de riscos. O resultado é um certificado 27001 com os controles 27017 explicitados — leitura imediata para clientes que avaliam segurança de nuvem.

Qual a diferença para a 27018?

São extensões complementares com focos distintos: a 27017 trata a segurança dos serviços de nuvem em geral — segregação de ambientes, configuração, monitoramento, responsabilidades provedor × cliente; a 27018 aprofunda um recorte específico, a proteção de dados pessoais (PII) em nuvem pública — consentimento, transparência sobre subcontratados e localização, devolução e eliminação de dados. Provedores que processam dados pessoais de clientes tipicamente adotam as duas sobre a base 27001, cobrindo segurança e privacidade num só sistema.

Multicloud complica a certificação?

Não — complica a operação sem gestão, e é justamente aí que a norma ajuda. Com múltiplos provedores, a matriz de responsabilidades é feita por serviço e por provedor, os controles de configuração seguem as particularidades de cada plataforma e o monitoramento consolida a visão. A auditoria avalia essa gestão normalmente: o que ela reprova é a zona cinzenta — o serviço que ninguém sabe dizer quem protege. Ambientes multicloud bem governados certificam sem dificuldade adicional.