Для SaaS-компании доверие к облачной инфраструктуре — это уже не просто вопрос технической надежности.

Корпоративные клиенты, иностранные партнеры и инвесторы хотят понимать, как поставщик сервиса защищает информацию, распределяет ответственность за безопасность и работает с персональными данными.

Но стандарты ISO/IEC 27017 и ISO/IEC 27018 решают разные задачи. Разберемся, какой из них нужен SaaS-компании и почему во многих случаях выбирать только один стандарт нецелесообразно.

ISO 27001 как основа безопасности SaaS

Начинать стоит с ISO/IEC 27001. Этот международный стандарт устанавливает требования к системе менеджмента информационной безопасности — ISMS. Он помогает компании управлять рисками системно, а не реагировать на проблемы после инцидента.

Для SaaS-провайдера это означает управление доступами, рисками поставщиков, резервным копированием, инцидентами, непрерывностью бизнеса, внутренними политиками и другими аспектами защиты информации. Поэтому ISO 27001 для SaaS можно рассматривать как фундамент, на который накладываются более специализированные облачные практики.

Именно здесь появляется ISO/IEC 27017: стандарт содержит рекомендации по контролям информационной безопасности, относящимся к предоставлению и использованию облачных услуг. Он предназначен как для поставщиков облачных сервисов, так и для их клиентов.

Что дает ISO/IEC 27017 SaaS-компании

Если основной вопрос бизнеса звучит как «насколько надежно организована наша облачная среда?», ориентироваться следует прежде всего на ISO 27017 в Грузии.

Стандарт помогает конкретизировать требования безопасности именно для cloud-среды. Это особенно важно для SaaS, где инфраструктура может включать собственное приложение, сторонний дата-центр, AWS, Microsoft Azure, Google Cloud или комбинацию нескольких платформ.

На практике внимание уделяется таким направлениям:

• распределению обязанностей между поставщиком облачной услуги и клиентом;
• управлению административным доступом и привилегиями;
• защите облачных конфигураций и виртуальной инфраструктуры;
• мониторингу операций в облачной среде;
• управлению активами клиента после завершения предоставления услуги;
• согласованию процедур безопасности между участниками облачной модели.

Такая структура снижает риск ситуации, когда каждая сторона уверена, что определенный контроль выполняет кто-то другой. Для безопасности облачных сервисов это один из принципиальных вопросов.

Когда необходим ISO/IEC 27018

ISO/IEC 27018 имеет более узкий фокус: защиту персонально идентифицируемой информации в публичных облачных средах, когда облачный провайдер выступает обработчиком таких данных.

Поэтому ISO 27018 в Грузии особенно актуален для SaaS-проектов, которые хранят или обрабатывают данные пользователей и клиентов. Например, это CRM-платформы, HR-системы, медицинские решения, финансовые сервисы, e-commerce SaaS, сервисы аналитики и другие продукты, где персональная информация является частью бизнес-процессов.

ISO/IEC 27018 помогает сделать работу с такими данными более прозрачной и управляемой. Для компании, планирующей выход на зарубежные рынки, это также дополнительный аргумент при переговорах с клиентами, которые уделяют повышенное внимание privacy и требованиям к своим технологическим поставщикам.

ISO 27017 или ISO 27018: что выбрать

Логика выбора достаточно проста. ISO/IEC 27017 отвечает прежде всего на вопрос: «Как мы обеспечиваем безопасность облачного сервиса?» ISO/IEC 27018 — на вопрос: «Как мы защищаем персональные данные, которые обрабатываем в публичном облаке?»

Представим SaaS-платформу для автоматизации производства, которая практически не работает с персональными данными. Для нее приоритетным дополнением к ISO 27001 может стать ISO/IEC 27017.

А если компания предоставляет облачную HRM-систему и хранит имена, контакты, должности и другую информацию о сотрудниках клиентов, одного внимания к технической защите облака уже недостаточно. Здесь логично рассматривать одновременно ISO/IEC 27017 и ISO/IEC 27018.

Проще говоря, 27017 защищает «облако как систему», а 27018 делает дополнительный акцент на «данных людей внутри этого облака».

Зачем сертификация SaaS-компании при международной работе

Для технологического бизнеса стандартизация становится не только вопросом комплаенса. Сертификация SaaS компании может упростить прохождение vendor assessment, ответы на security questionnaires и переговоры с крупными B2B-клиентами.

Особенно это важно для компании из Грузии, которая продает сервис за рубеж. Международному заказчику значительно проще оценивать поставщика через знакомую систему требований, чем самостоятельно разбираться в десятках внутренних политик и технических процедур.

При этом цель внедрения ISO должна состоять не в создании еще одной папки документов. Правильно построенная система помогает сделать ответственность понятной, процессы — повторяемыми, а контроль безопасности облачных сервисов — частью ежедневной работы команды.

Как начать подготовку

Перед сертификацией стоит определить границы SaaS-сервиса, типы обрабатываемой информации, используемых облачных поставщиков, роли компании относительно данных клиентов и требования целевых рынков. После этого значительно легче понять, достаточно ли ISO 27001 и ISO/IEC 27017 или необходимо также усилить privacy-контуры с помощью ISO/IEC 27018.

BALTUM BUREAU работает в области оценки систем менеджмента и ISO-сертификации и ориентируется в том числе на международное сотрудничество.

Если ваша SaaS-компания в Грузии готовится к сертификации, выходу на новые рынки или хочет определить оптимальную комбинацию стандартов для облачного продукта, ознакомиться с направлениями работы и обратиться за консультацией можно на сайте BALTUM BUREAU: https://baltum.ge