云服务信息安全管理体系（基于ISO/IEC 27002的云服务信息安全控制实施指南）

       ISO /IEC 2701 :2015《信息技术 安全技术 基于ISO/IEC 27002的云服务信息安全控制实施指南》

       简介

       全球首个专门针对云服务的信息安全管理国际标准，在 ISO/IEC 27001/27002 基础上，为云服务提供商（CSP）和云服务客户双方提供额外的安全控制指南，确保云环境中的数据安全。

       ISO/IEC 27017 是云服务合规准则。明确了云服务各方的责任边界，7项云专属控制管住特有数据风险，做到管得住、说得清、认得了。

       企业实施 ISO/IEC27017 认证的好处：

       合规层面：ISO /IEC 27017 覆盖了云环境下的信息安全控制要求，与《网络安全法》、《数据安全法》、《个人信息保护法》及欧盟 GDPR 等法规高度对齐。企业通过认证可向监管机构证明已履行云安全合规义务，有效规避因数据泄露或违规导致的高额罚款。

       信任层面：认证是由第三方权威机构背书的云安全能力证明。在政企采购、金融合作、供应链准入中，它已成为评估云服务提供商安全水平的重要依据，能显著降低商务沟通中的信任成本。尤其对 SaaS、IaaS、PaaS 厂商，这张证书直接回答了客户最核心的顾虑："我的数据放在你的云上，到底安不安全？"

       竞争层面：随着超 70% 的客户在选择云服务提供商时优先考虑具备安全认证的企业，ISO/IEC 27017 已成为招投标、云服务采招中的差异化竞争力。它提供覆盖不同国家和地区的通用安全指南，为企业出海拓展业务扫清合规障碍，成为全球市场的"首选供应商"门槛。

       风控层面：标准核心解决了云环境下责任不清的问题。明确了云服务提供商（CSP）与客户之间的角色、权利、责任划分，同时新增 7 项云专属控制措施（合同终止时资产归还、虚拟环境隔离、虚拟机配置、客户对云活动的监控等），将多租户隔离、数据泄露、合同终止资产流失等云特有风险纳入系统化管控，推动安全管理从“被动救火”转向“主动防控”。

       管理层面：认证推动企业建立标准化的云安全流程与责任机制，明确谁负责什么、出了事怎么办，减少因职责模糊导致的管理内耗。同时可与 ISO/IEC 27001 联合审核，一次审核多证到手，节省成本和时间。

       申请条件：

       云服务信息安全管理体系是在ISO/IEC 27001信息安全管理体系的基础上建立、实施和扩展的，ISO/IEC 27001是申请认证的基础和前提条件。申请组织应已经建立信息安全管理体系，且通过了ISO/IEC 27001认证或准备同时申请ISO/IEC 27001认证。

    认证规则：云服务信息安全管理体系认证规则.pdf

    认证标准：信息安全-网络安全-隐私保护-信息安全管理体系-要求.pdf

                     信息技术-安全技术-基于ISOIEC27002的云服务信息安全控制实施规范.pdf

    如需进一步了解，请致电我公司市场部门：010-84727001