ISO/IEC 27017 – Proteger los entornos y servicios en la nube

La ISO/IEC 27017:2026 proporciona controles y recomendaciones de seguridad específicamente adaptados a los servicios en la nube. Basada en la ISO/IEC 27002, aclara en particular las responsabilidades compartidas de seguridad entre proveedores y clientes de la nube y se aplica a los entornos públicos, privados e híbridos.

Es particularmente pertinente para los proveedores de SaaS y de nube, para las organizaciones fuertemente dependientes de AWS, Azure, Google Cloud o de entornos privados, así como para las empresas reguladas cuyos datos o aplicaciones críticas están alojados fuera de su infraestructura tradicional.

La implementación permite identificar las responsabilidades mal definidas, las configuraciones de riesgo, los problemas de accesos privilegiados, las brechas de supervisión y las dependencias respecto a los proveedores. Complementa particularmente bien un SGSI ISO/IEC 27001.

Esfuerzo indicativo: 2 a 5 meses; 50 a 150 horas-persona internas; aproximadamente 80 a 220 horas Quantum Beyond, según el número de plataformas, cuentas, regiones, proveedores y arquitecturas de nube.

La intervención de los expertos de Quantum Beyond puede incluir el mapeo de las responsabilidades, el análisis de arquitectura, IAM y privilegios, configuraciones, registro de logs, segmentación, copias de seguridad, gestión de proveedores e integración de los controles de nube al sistema global de ciberseguridad.

El principal beneficio es una visión mucho más clara de la seguridad de la nube: quién protege qué, cómo se verifican los controles y dónde subsisten las zonas grises susceptibles de convertirse en vulnerabilidades.