ABNT NBR ISO/IEC 27017 · Certificamos esta norma
Segurança da Informação em Serviços de Nuvem
A ISO/IEC 27017 estende os controles da 27001/27002 para o contexto de computação em nuvem, definindo responsabilidades de provedores e clientes: segregação de ambientes, configuração segura, monitoramento, remoção de ativos ao encerrar contratos e transparência sobre onde e como os dados são processados.
Na auditoria
O que é esperado
- Matriz de responsabilidades provedor × cliente definida por serviço;
- Controles de segregação, criptografia e configuração segura de ambientes em nuvem;
- Monitoramento e registro de atividades do cliente e do provedor;
- Procedimentos de devolução e remoção de dados ao término do serviço;
- Transparência de localização, subcontratados e suporte a investigações.
Implantação
Dicas úteis para implantar
- Implemente sobre uma base 27001 — a 27017 é um conjunto de controles, não um sistema isolado;
- Formalize a matriz de responsabilidade por serviço (IaaS, PaaS, SaaS): elimina zonas cinzentas;
- Automatize a verificação de configuração (hardening) da nuvem;
- Trate multi-tenancy e segregação como controle central em SaaS;
- Combine com 27018 quando houver dados pessoais na nuvem.
Onde se aplica
Segmentos aplicáveis e recomendados
Provedores de nuvem e hosting
SaaS
Fintechs
GovTech
Integradores cloud
Healthtechs
Plataformas de dados
MSPs
Diferenciais
O que sua organização ganha
Clientes públicos
Órgãos que migram para a nuvem (e seus fornecedores) demonstram atendimento às diretrizes de contratação de nuvem do governo federal, com responsabilidades e controles auditados por terceira parte.
Clientes privados
Provedores de SaaS e nuvem encurtam ciclos comerciais respondendo com o certificado às avaliações de segurança de clientes corporativos — e se diferenciam em mercados onde ‘estar na nuvem’ exige provar segurança na nuvem.
Base legal
Legislações e referências sobre o tema
No Brasil
- LGPD (Lei nº 13.709/2018) — segurança no tratamento em infraestrutura de terceiros;
- IN SGD/ME nº 94/2022 e Portaria SGD nº 5.950/2021 — requisitos para contratação de serviços de nuvem no governo federal;
- Resolução BACEN nº 4.893/2021 — contratação de nuvem por instituições financeiras com requisitos de segurança e comunicação.
Clique em qualquer bloco para abrir a íntegra da lei ou referência no site oficial (nova aba). As referências indicam normas e políticas públicas que dialogam com o tema — a aplicabilidade a cada organização deve ser avaliada caso a caso.
Dúvidas frequentes
Perguntas sobre a ISO/IEC 27017
Sou cliente de nuvem, não provedor. Faz sentido?
Sim — a norma foi escrita para os dois lados da relação. Para o cliente, ela organiza o que costuma ficar solto: saber exatamente o que é responsabilidade sua em cada serviço contratado (contas, acessos, configuração, dados) e o que é do provedor, exigir as evidências certas em contrato e manter seus ambientes configurados com segurança. A maioria dos incidentes de nuvem nasce de configuração errada do lado do cliente — certificar a gestão do seu uso de nuvem ataca exatamente esse risco.
Preciso da 27001 antes?
A 27017 é um conjunto de controles, não um sistema de gestão isolado — ela opera como extensão da 27001, que fornece a estrutura (riscos, auditorias, melhoria). Na prática, certifica-se o conjunto no mesmo ciclo: quem já tem 27001 acrescenta os controles de nuvem ao escopo e à Declaração de Aplicabilidade; quem parte do zero implanta tudo junto, com a nuvem como contexto central da avaliação de riscos. O resultado é um certificado 27001 com os controles 27017 explicitados — leitura imediata para clientes que avaliam segurança de nuvem.
Qual a diferença para a 27018?
São extensões complementares com focos distintos: a 27017 trata a segurança dos serviços de nuvem em geral — segregação de ambientes, configuração, monitoramento, responsabilidades provedor × cliente; a 27018 aprofunda um recorte específico, a proteção de dados pessoais (PII) em nuvem pública — consentimento, transparência sobre subcontratados e localização, devolução e eliminação de dados. Provedores que processam dados pessoais de clientes tipicamente adotam as duas sobre a base 27001, cobrindo segurança e privacidade num só sistema.
Multicloud complica a certificação?
Não — complica a operação sem gestão, e é justamente aí que a norma ajuda. Com múltiplos provedores, a matriz de responsabilidades é feita por serviço e por provedor, os controles de configuração seguem as particularidades de cada plataforma e o monitoramento consolida a visão. A auditoria avalia essa gestão normalmente: o que ela reprova é a zona cinzenta — o serviço que ninguém sabe dizer quem protege. Ambientes multicloud bem governados certificam sem dificuldade adicional.
O que é a matriz de responsabilidades na prática?
É o documento que responde, serviço a serviço, a pergunta que derruba operações: ‘isso é comigo ou com o provedor?’. Para cada serviço contratado (IaaS, PaaS, SaaS), ela define quem responde por identidade e acessos, criptografia e chaves, configuração segura, backups, monitoramento, resposta a incidentes e conformidade — do lado do cliente e do provedor. Em SaaS o provedor carrega mais; em IaaS, você. A matriz elimina o ‘achei que era com eles’ e vira referência para contratos, operação e auditoria.
A certificação depende do provedor que eu uso (AWS, Azure, GCP)?
Não — o certificado é da sua gestão, não da infraestrutura deles. A norma avalia como você seleciona, configura, monitora e controla os serviços de nuvem que usa, seja qual for o provedor. As certificações dos grandes provedores (que em geral incluem a própria 27017) entram como evidência da parte deles na matriz de responsabilidades — e o seu sistema cobre a sua parte. Trocar ou combinar provedores não invalida o certificado: o sistema de gestão absorve a mudança, como qualquer outra.
Pronto para certificar a ISO/IEC 27017?
Solicite o orçamento com dimensionamento personalizado para o seu escopo.