ISO27001、ISO27002、ISO27017、ISO27018之間的關(guān)系與區別
ISO 27002 信息技術(shù)—安全技術(shù)—信息安全管理實(shí)踐規范
ISO 27017 針對云服務(wù)的信息安全控制提供了實(shí)施指導。
ISO 27018 是首個(gè)專(zhuān)注于云中個(gè)人數據保護的國際行為準則。
ISO 27017和ISO 27018都是基于ISO 27002標準，并針對適用于公有云個(gè)人可識別信息(PII)的ISO27002控制體系提供了實(shí)施指南。
兩個(gè)標準都是基于ISO 27001延伸。
ISO 27017 提出比較多的改變安全控制。
ISO 27018 則是提出比較多新增安全控制。
什么是 ISO 27017？
ISO 27017是基于ISO 27002延伸的標準。 主要目的在于提供云端服務(wù)廠(chǎng)商一個(gè)云端建置與維運的安全規范。
ISO 27017與ISO27002主要的差異在于：ISO27017額外規范云端安全的建置與維護。
ISO 27017于2015-12-15官方正式公布。
ISO 27017認證的方式有可能會(huì )與ISO 27001認證審核一并進(jìn)行。
ISO 27001/ISO 27002與ISO 27017 標準的差異部分：
|
ISO 27001/ISO 27002 標準 |
ISO 27017 標準額外增加的差異 |
|
A5 信息安全方針 |
中 |
|
A6 信息安全組織 |
中 |
|
A7 人力資源安全 |
中低 |
|
A8 資產(chǎn)管理 |
中低 |
|
A9 訪(fǎng)問(wèn)控制 |
高 |
|
A10 密碼學(xué) |
中 |
|
A11 物理和環(huán)境安全 |
中低 |
|
A12 操作安全 |
中高 |
|
A13 通信安全 |
中高 |
|
A14 信息系統獲取、開(kāi)發(fā)和維護 |
中 |
|
A15 供應商關(guān)系 |
中高 |
|
A16 信息安全事件管理 |
中 |
|
A17 信息安全方面業(yè)務(wù)連續性管理 |
低 |
|
A18 符合性 |
中高 |
什么是 ISO 27018?
ISO 27018更著(zhù)重于個(gè)人隱私數據保護，基于ISO 27002的基礎上，延伸定義新增個(gè)人資料的隱私保護。
ISO 27018于2014-8-1正式公布。
ISO 27001/ISO 27002與ISO 27018 標準的差異部分：
|
ISO 27001/ISO 27002 標準 |
ISO 27018 標準額外增加的差異 |
|
A5 信息安全方針 |
中 |
|
A6 信息安全組織 |
低 |
|
A7 人力資源安全 |
低 |
|
A8 資產(chǎn)管理 |
低 |
|
A9 訪(fǎng)問(wèn)控制 |
低 |
|
A10 密碼學(xué) |
低 |
|
A11 物理和環(huán)境安全 |
低 |
|
A12 操作安全 |
高 |
|
A13 通信安全 |
低 |
|
A14 信息系統獲取、開(kāi)發(fā)和維護 |
低 |
|
A15 供應商關(guān)系 |
低 |
|
A16 信息安全事件管理 |
中 |
|
A17 信息安全方面業(yè)務(wù)連續性管理 |
低 |
|
A18 符合性 |
中 |
ISO27001 or ISO 27018 or ISO 27017？
ISO 27001因為是最基礎的規范，所以在進(jìn)行 ISO 27018 or ISO 27017之前，必須先經(jīng)過(guò)基本的ISO 27001認證。
基于ISO 27001 認證基礎下，可以思考額外包含：
ISO 27018 : 如果公司預計提供云端服務(wù)，相關(guān)云端維運的安全控制措施
ISO 27017: 云端對于個(gè)人隱私數據的產(chǎn)生、儲存、管理、通知、消除、加密、傳輸等處理。
從市場(chǎng)營(yíng)銷(xiāo)的觀(guān)點(diǎn)來(lái)看，ISO 27001是可以獲得一個(gè)認證，因此容易得到客戶(hù)的認可。
從信息安全來(lái)看，ISO 27018 or ISO 27017 更偏重于信息安全管制措施。
