ISO/IEC 27017 雲端資安控制導入輔導

適合提供或使用雲端服務的企業。新服務採購、系統搬遷、私有與混合雲整合，以及供應商更換前，應先確認控制分工，不只查看對方是否持有證書。

供應商保護基礎設施，不代表企業帳號、設定與資料使用就已妥善管理。若責任只寫由雙方共同負責，異常發生時仍可能無人處理。

供應商報告的範圍也不一定涵蓋本次使用的服務、地區或期間，需要對應實際使用情境。

ISO/IEC 27017:2026 已於 2026 年 7 月發布，取代 2015 版。它以 ISO/IEC 27002 為基礎，提供雲端控制指引及額外控制，適用雲端客戶與供應商，包括公有、私有及混合雲。

以下依企業情境安排輔導重點，實際採用範圍與證據深度於啟動時確認。

共用責任

依服務模式明確分派帳號、設定、基礎設施及事件介面，讓每項控制有可確認的責任與證據。

控制對照

將現有資訊安全措施對應雲端風險及契約條件，檢查哪些由企業執行、哪些需依賴供應商。

合約與證據

確認服務範圍、變更告知、可取得報告及查核資訊，避免只收一份與實際服務無關的認證文件。

營運檢視

檢查權限、異常與退出程序；搬遷或停止服務時，資料取回、帳號關閉及紀錄仍需責任分工。

• 雲端服務：平台、服務模式、用途與責任人。
• 契約與報告：服務範圍、條款及可用查核資料。
• 控制與設定：權限、管理程序及設定摘要。
• 營運紀錄：變更、事件、備援及退出安排。

初談可先提供目錄或摘要。涉及個資、合約機密或系統紀錄時，先約定授權、遮蔽與保存方式。

依服務及供應商數、部署模式和控制檢查深度評估。實際設定調整、弱點測試和第三方評估不與文件對照混為一項；版本轉換需另確認適用方案與條文。