协助云服务商与客户对齐责任、证据、账号设定、事件处理及服务退出安排。
适用范围与定位
ISO/IEC 27017:2026 基于 ISO/IEC 27002 提供云安全控制与指引。它补充信息安全管理，但不取代 ISO/IEC 27001 要求或云服务合同。
管理重点
- 按云服务、数据类别、管理员及运维职责，梳理服务商与客户各自承担的事项。
- 检视身份与特权访问、配置、隔离、变更控制、事件响应及备份责任。
实施步骤
- 按云服务、数据类别、管理员及运维职责，梳理服务商与客户各自承担的事项。
- 检视身份与特权访问、配置、隔离、变更控制、事件响应及备份责任。
- 核对供应商证据和服务承诺，明确升级通报路径，并规划退出时的数据返还、删除及营运持续性。
- 建立服务清单；分配共同控制责任；验证配置与证据；测试事件及恢复安排；定期检视供应商与变更。
建议准备资料
- 云端服务名称、用途、部署方式（公有、私有或混合云）及管理责任人。
- 服务范围、地区、合同期限、供应商说明及可取得的独立评估或认证报告。
- 身份与权限管理、关键配置、变更审批、数据备份和恢复安排摘要。
- 事件通报、供应商升级渠道、次级服务商及终止服务时的数据处理约定。
整理资料时应确认报告涵盖的服务、地区、期间和排除项目是否与实际采购一致。供应商拥有认证或报告，不代表客户端账号、权限、设定和使用方式已自动得到管理。
可讨论的交付成果与范围界线
可讨论云端责任矩阵、控制差距清单、供应商证据检查表、权限及设定复核要点、事件与恢复测试方案，以及服务退出流程。实际生产环境操作、配置修改、弱点测试和第三方验证另行确认。任何环境操作都应先明确授权、必要性、范围及执行人员，不以文件审阅名义默认取得正式环境权限。
常见问题
私有云或混合云也适用吗？
可依据实际云服务和责任分工检视，不限于采购公有云的组织。
供应商已有认证或评估报告就足够了吗？
仍要核对报告的服务范围、地区、期间、例外和补救事项，并检查企业自身的账号、配置及数据使用责任。
现有 ISO/IEC 27001 是否被取代？
不会。27017 的云安全控制指引可补充信息安全管理，但不取代 27001 的管理系统要求或云服务合同。
是否需要提供正式环境账号？
初步检视可从合同、供应商证据和设定摘要开始；如需操作正式环境，应另行确认授权、范围和安全安排。
完成控制对照就保证通过认证吗？
控制对照是准备工作，不构成认证保证。第三方验证机构按其受理范围及程序独立作出决定。
相关服务与需求咨询
初步讨论可先整理一项关键云服务的用途、负责人、合同和退出条件，再确认需要核对的控制与证据。