iso 27017认证是什么？云服务商先分清这5个适用边界

ISO 27017这名字在云圈不算冷门。2015年ISO发的，编号ISO/IEC 27017:2015，全称《基于ISO/IEC 27002的云服务信息安全控制实施指南》——光看名字就知道，它打的是27002的旗号。不过说穿了，这东西算不上独立的体系标准。它是挂在ISO 27001上头的一套云服务增量控制包，性质偏补丁。

云服务商盘算要不要上这个证之前，脑子得先理几根线：跟27001到底是父子还是兄弟、适用范围怎么圈、控制责任谁来扛、客户和供应商中间的墙砌多高、跟CSA STAR这类标准又怎么摆位。这几件事不先掰扯清楚，后面跑流程就是瞎忙，节奏一乱全盘跟着崩。根基稳了再按步子推审核准备，才不容易出岔子。

云服务专属控制到底管什么

ISO 27017干的事很直白——填27001留下的坑。27001是通用框架，多租户隔离、虚拟化安全、数据删除、服务可用性这些云上的硬骨头它基本不碰。而这些，偏偏是云服务最让人睡不着觉的地方。27017一口气补了37项控制措施，其中相当一部分专门处理云服务商和云客户之间的那层关系。

但落到地上，三类厂商面对的局面完全不同。手里已经有27001证书的，扩展27017相对省力，审核焦点集中在新增控制有没有真跑起来。体系一张白纸的，得先费力气把27001搭起来，再叠云服务专属那层。只跑IaaS或PaaS的，SaaS层面的部分控制可能完全用不上，认证范围必须提前切清楚——不然审核现场容易卡壳，临时改范围更被动。

责任共担，边界在哪

云安全这盘棋，从来不是一方独赢。27017把云服务商和客户各自管什么写得有棱有角：底层基础设施、虚拟化层、物理安全、服务自身的安全控制——服务商扛；数据、应用系统、访问权限、终端——客户扛；配置管理、补丁更新、事件响应、合规义务——两边一起扛，躲不掉。

责任共担一旦摆上桌，认证审核范围就得同时伸向双方的控制措施。服务商备审过程中必须跟客户把控制边界谈透，服务协议里也写明白谁管哪块。审核员现场盯的，是服务商跟客户之间有没有建起真正能跑起来的责任沟通机制——不是那种纸上画饼、实际推不动的花架子。这一点很关键。

跟27001的依附关系，绕不开

27017不能单飞。必须挂在27001体系上跑，这条没得商量。

那37项新增控制，是对27001附录A的补丁式延伸，合在一起才是完整的云服务信息安全控制框架。实操中，27017一般按27001审核的扩展范围来处理，审核员同时评估两项标准的达标情况——体系文件、风险评估、内部审核这些底子，两边都得过。

手里已经攥着27001证书的云服务商，扩展27017的增量活计主要落在云服务专属控制的设计和实施上。基础模块原样不动，省心。

谁该上，谁可以缓

不是每家云服务商都必须追27017。适不适用，得看三条线交叉：服务模式是什么、行业监管有多硬、客户买不买账。光看一条容易判断失误。

金融、医疗、政务——这些行业监管紧，客户几乎把27017当供应商入场券使。公有云厂商牵涉多租户隔离、数据跨境，认证的含金量更高。只跑内部私有云或企业专属云的，客户没开口，优先级往后排排也无妨。SaaS服务商要是碰客户敏感数据（个人信息、支付信息这些），拿个27017多少能往外递个信号——客户问安全能力的时候，手里有个交代。

决策落锤前，最好先把目标客户群的合规需求摸一遍，再盘算自家投入产出划不划算。证书好看是次要的，有单子进来才是真的。

跟其他云安全框架怎么搭

云安全评估框架不止一个，27017也不是唯一选项。CSA STAR走的是云控制矩阵（CCM）路线，偏向云服务安全能力的成熟度分级。27017和CSA STAR在控制目标上重合度不低，但评估逻辑完全是两码事——一个走认证审核，一个走自评加外审的混合路线。SOC 2报告盯着内部控制和信任服务标准，主战场在美国市场。

同时吃国内外客户的厂商，27017加CSA STAR的组合出镜率比较高。两者确实互补，但得提防审核资源两头烧——同一项控制措施被两个标准各查一遍，纯浪费。主战场客户认什么，就先推什么，贪多嚼不烂。

ICAS英格尔认证在国内信息安全认证这块算是老面孔，云服务方向也攒了些案例，有兴趣可以问问他们的技术团队。

参考文献

1. ISO/IEC 27017:2015 基于ISO/IEC 27002的云服务信息安全控制实施指南. 国际标准化组织, 2015.

2. ISO/IEC 27001:2022 信息安全、网络安全与隐私保护 信息安全管理体系 要求. 国际标准化组织, 2022.

3. 中国合格评定国家认可委员会(CNAS)公开信息. 中国合格评定国家认可委员会, 2024.

常见问题

Q: iso 27017认证和iso 27001认证有什么区别

A: iso 27017是在iso 27001信息安全管理体系基础上，针对云服务提供者的扩展控制指南。iso 27001关注组织整体信息安全管理，iso 27017则聚焦云服务的特有风险与控制措施，适用于云服务商及其客户。

Q: 哪些企业需要办理iso 27017认证

A: 云服务提供商、云基础设施运营方、使用云服务处理敏感数据的企业，以及为云客户提供SaaS、PaaS、IaaS服务的组织，通常需要依据iso 27017建立并运行云安全控制措施，以支持云服务的信息安全合规。

Q: iso 27017认证的审核流程大致是怎样的

A: 依据审核流程，企业需先按iso 27017标准建立云服务安全管理体系，随后提交申请，由认证机构进行文件审核和现场审核，审核通过后颁发证书。认证周期通常取决于企业体系运行和准备情况，需按计划推进。

Q: iso 27017证书有效期是多久，需要年审吗

A: 证书有效期通常为三年，期间需接受认证机构的监督审核（年审），以确保持续符合标准要求。证书到期前需进行再认证审核。ICAS英格尔认证依据审核流程提供相应认证服务，具体安排以合同约定为准。

Q: 云服务商申请iso 27017认证前需要做哪些准备

A: 云服务商需先对照iso 27017标准梳理云服务边界、资产清单及风险，建立并运行信息安全管理体系，形成必要的文件和记录。同时可寻求技术支持以完善体系文件，确保体系实际运行与标准要求一致，再提交认证申请。

作者：徐金行

编辑：徐金行

审核：徐金行