Beveiligingseisen cloud en saas leveranciers conform ISO 27001, ISO 27017 of NEN 7510

De twijfel bij de klant wordt vaak veroorzaakt doordat hij zich wil of moet houden aan normen voor informatiebeveiliging zoals ISO 27001 en 27002 of NEN 7510. Deze normenstelsels zijn procesgericht en eisen dus dat de organisatie ‘in control’ is. ‘Zeggen wat je doet, doen wat je zegt en aantonen dat dit inderdaad het geval is’ is de kern van deze normen. Omdat jouw klant een deel van zijn operatie en het beheer aan je heeft uitbesteed, zult je een bijdrage moeten leveren aan de aantoonbaarheid van de naleving van de maatregelen, die de klant aan zichzelf heeft opgelegd. De klant heeft namelijk door de uitbesteding die maatregelen impliciet ook aan je opgelegd, want je voert een aantal taken uit voor de klant, waarvoor hij wel zelf verantwoordelijk blijft. 
Natuurlijk heeft je een nette SLA opgesteld, waarmee je doorgaans wel kunt aantonen dat je voldoet aan de beschikbaarheidseisen. Maar ongetwijfeld wordt er in de SLA weinig vermeld over eisen aan. de vertrouwelijkheid en integriteit. Dat is ook logisch. Jouw data center bedient immers ook klanten, die geen behoefte hebben aan uitbreiding van de standaard dienstverlening voor beveiliging en die dus ook niet bereid zijn om hieraan mee te betalen. Voorts geldt, dat informatiebeveiliging natuurlijk voor je geen core business is. Toegeven aan maatwerk betekent doorgaans, dat je jouw eigen concurrentiepositie om zeep helpt, vaak de reden van het in de praktijk mislukken van Shared Service Centers. (Zie ook: ‘Shared Service Center (SSC): zelf pompen of verzuipen’.) 

Is ISO 27017 voor cloud security de oplossing? 

Zoals je ongetwijfeld weet, wordt In de theoretisch perfecte wereld van de ISO-normen hard gesleuteld aan een oplossing. In 2015 zal de ISO 27017 norm voor cloud security verschijnen. Deze norm zal echter dezelfde kinderziekten hebben als ISO 27002. Volledige toepassing voor die klanten die voor zichzelf de lat onnodig hoog gelegd hebben door ISO 27002 integraal van toepassing te verklaren betekent, dat je wordt opgescheept met veel bureaucratie, vergelijkbaar met een stiptheidsactie. 
Pas de laatste jaren wordt geaccepteerd, dat voor alle controls uit ISO 27002 het principe geldt van ‘pas toe of leg uit’. Dat betekent, dat organisaties tegenwoordig tegen veel lagere kosten kunnen voldoen aan de certificatie-eisen van ISO 27001. Zo zal het straks natuurlijk ook gaan met ISO 27017. Er zal een aantal datacentra (en vooral shared service centers) zijn, dat onder druk van klanten gaat voldoen aan alle eisen van ISO 27017. Met als gevolg, dat de prijs van hun primaire dienstverlening aanzienlijk stijgt, terwijl het niveau van beveiliging niet veel verbetert. In hoofdzaak zal slechts de rapportage over naleving verbeteren, maar daarmee houd je computercriminelen niet tegen en voorkom je geen calamiteiten. 
Daarna zullen klanten aan je als datacenter gaan vragen naar het ISO 27017 certificaat en dit zelfs als knock out criterium gebruiken in hun offerte aanvragen.  De ‘early adapters’, die voldoen aan alle eisen van ISO 27017, lijken dan een voorsprong te hebben. Maar omdat ze alle beheersmaatregelen naleven, is hun prijsstelling voor de dienst aanzienlijk hoger. JE kunt het slimmer aanpakken door van meet af aan gebruik te maken van het principe van ‘pas toe of leg uit’. JE implementeert alleen die maatregelen waarmee klanten die risico’s afdekken, die ze belangrijk vinden en waarvan implementatie relatief weinig kosten met zich meebrengt door bijvoorbeeld het geautomatiseerd opleveren van rapportages. Juist hierdoor word je een aantrekkelijke partij voor de meeste organisaties. 

Aanpak informatiebeveiliging voor datacenters 

Het meest voor de hand ligt, dat je als datacenter of als SaaS-leverancier samen met het datacenter het initiatief neemt. Commercieel is dit aantrekkelijk, omdat als uitgangspunt voor het basis beveiligingsniveau (BBN) de bestaande situatie genomen kan worden als uitgangspunt voor certificering. Voor klanten die hier genoegen mee nemen, hoeven dan geen meerkosten in rekening gebracht worden. Voor de klanten die meer willen, bijvoorbeeld omdat zij naleving van normen voor hun certificaat moeten kunnen aantonen, kan standaard een tweede niveau gedefinieerd worden. Dit niveau bevat redelijkerwijs alle controls, waaraan een gemiddelde klant die ISO 27001 of NEN 7510 gecertificeerd is, voldoende heeft om op zijn beurt te voldoen aan de compliance eisen van de auditors. Uiteraard kan voor deze extra dienstverlening ook aan de klant een extra bedrag in rekening gebracht worden. Belangrijk voordeel van deze aanpak voor je als leverancier is, dat je hiervoor slechts eenmalig de exerctitie van het definiëren van de standaarddienst hoeft uit te voeren. Door deze standaardisering kunt je grotendeels geautomatiseerd leveren. Het ligt immers voor de hand, dat de functionaliteit om een aspect te monitoren reeds bestaat en gebruikt wordt. Er hoeft dan alleen een reportfunctie te worden toegevoegd. Tevens kunnen de investeringen geschrapt worden, als een aanvullende functionaliteit te kostbaar wordt. In dat geval geldt: ‘pas toe of leg uit’. En je kunt samen met jouw klanten werken aan een voor de auditor acceptabele uitleg, waarom je de maatregel niet implementeert. 
Natuurlijk kan de totale investering die hiervoor nodig is permanent doorberekend worden in het tarief voor waarschijnlijk steeds meer klanten, die zelf gecertificeerd willen of moeten zijn. In toenemende mate zullen dit ook softwareleveranciers zijn, die hun klanten een SaaS-dienst willen leveren en van wie een deel van de doelgroep (met name de overheid en de zorg) deze eis gaat stellen aan de SaaS-dienst. Want als zij niet kunnen voldoen aan de eis voor rapportage, dan schakelen zij voor zichzelf een deel van de markt uit. Commercieel is het dan handig om ook als datacenter ISO 27001 gecertificeerd te worden. Het is immers veel gemakkelijker om een ISO 27001  certicaat met een onafhankelijke beoordeling aan potentiele klanten te overleggen dan honderden maatregelen te moeten toelichten. 
Helaas (of juist gelukkig) zijn er nog maar weinig data centers die een tweede standaardniveau bieden voor klanten die willen of moeten certificeren voor informatiebeveiliging. Dat bied je de kans om jouw concurrentiepositie te verbeteren. Voer daarom samen met klanten een risico analyse uit en bepaal welke maatregelen zij echt nodig hebben. De grootste valkuil bij deze samenwerking is, dat de behoeftestelling een optelsom wordt van de individuele behoeften. Probeer dit te voorkomen door gezamenlijk een risico analyse te maken en slechts die risico’s af te dekken, die echt onacceptabel zijn. Voor de restrisico’s geldt: ‘dat leggen we wel uit’. Bruikbare checklist voor risico’s datacenters en SaaS-diensten Voor deze risicoanalyse en het bepalen van de bijbehorende maatregelen zijn checklists beschikbaar. Deze checklists gaan er meestal vanuit, dat alle beheersmaatregelen van ISO 27002 of NEN 7510 volledig worden afgedekt. Maar dat is natuurlijk niet nodig. Dat hebben tenslotte jouw klanten zelf ook niet gedaan. Door alleen de onacceptabele risico’s af te dekken, kunt je aanzienlijk besparen op jouw kosten en kunt je de dienst bieden tegen geringe meerkosten. Een aantal voorbeelden uit zo’n checklist voor de risico’s en de bijbehorende vragen die het datacenter moet beantwoorden, ziet je in onderstaande tabel: 

Voor de vertaling van risico’s naar maatregelen is de volgende tabel beschikbaar. Het referentienummer verwijst naar het nummer van de risico’s. 

De volledige lijst bestaat uit 61 risico’s en 39 beheersmaatregelen, die af en toe zijn uitgesplitst naar meerdere best practices. Dit voorbeeld geeft echter een redelijk beeld hoe snel in kaart gebracht kan worden wat je belangrijk vindt en welke maatregelen je daartoe moet treffen. Het meest optimaal is, als je deze lijst samen met klanten of de SaaS-leverancier doorwerkt om zo te komen tot een acceptabel basis beveiligingsniveau. ZBC organiseert een eendaagse cursus hierover. De doelgroep bestaat zowel uit datacenters, SaaS-leveranciers en de gebruikers van deze diensten, zodat geoefend kan worden in hoe in overleg gekomen kan worden tot een ‘lean and mean’ invulling van de risico’s en de maatregelen.