ISO/IEC 27017:2026 — Controlli di sicurezza delle informazioni per i servizi cloud
Certificazione dei controlli di sicurezza delle informazioni che un'organizzazione applica ai servizi cloud che fornisce o utilizza, secondo la ISO/IEC 27017:2026, la seconda edizione delle linee guida internazionali sui controlli di sicurezza delle informazioni per i servizi cloud, pubblicata nel luglio 2026. Un certificato di conformità autonomo, non un'estensione di un certificato ISO/IEC 27001. Certificazione rilasciata da CAS sotto la propria responsabilità (By CAS), al di fuori dell'ambito di accreditamento EGAC: il certificato riporta il marchio CAS e non i simboli EGAC o IAF. In Italia non sostituisce un certificato rilasciato da un organismo accreditato da Accredia o da altro firmatario EA MLA dove questo sia richiesto da norme o capitolati.
Norma
ISO/IEC 27017:2026
Tipo di servizio
By CAS
Rilasciato ai sensi di
CAS — responsabilità propria
Che cos'è
La ISO/IEC 27017:2026 fornisce linee guida sui controlli di sicurezza delle informazioni per la fornitura e l'utilizzo di servizi cloud. Si basa sulla ISO/IEC 27002:2022: per i controlli pertinenti della ISO/IEC 27002 aggiunge una guida all'attuazione specifica per i servizi cloud, e introduce controlli propri che si applicano soltanto ai servizi cloud, ad esempio sulla condivisione di ruoli e responsabilità in un ambiente di cloud computing e sulla segregazione negli ambienti di elaborazione virtuali. Le linee guida sono fornite sia per il cliente del servizio cloud sia per il fornitore del servizio cloud, e si applicano a tutti i modelli di distribuzione del cloud, compreso il cloud privato. Questa seconda edizione, pubblicata nel luglio 2026, sostituisce la ISO/IEC 27017:2015 e si basa sull'edizione 2022 della ISO/IEC 27002.
A chi serve
Fornitori di servizi cloud — ad esempio fornitori di software come servizio (SaaS), di piattaforme e di infrastrutture, operatori di hosting e di data center e fornitori di servizi gestiti — e organizzazioni che utilizzano servizi cloud e desiderano un'evidenza indipendente di come li proteggono, ad esempio per rispondere ai questionari di sicurezza dei clienti o ai requisiti di approvvigionamento.
Processo di audit
La ISO/IEC 27017 è un documento di linee guida: fornisce indicazioni sui controlli e sulla loro attuazione, non requisiti per un sistema di gestione. CAS sottopone ad audit i controlli di sicurezza delle informazioni che l'organizzazione applica ai servizi cloud compresi nel campo di applicazione indicato sul certificato — come fornitore del servizio cloud, come cliente del servizio cloud o in entrambi i ruoli — rispetto a criteri di valutazione tratti dai controlli e dalla guida all'attuazione del documento. La certificazione segue un audit iniziale in due fasi (Fase 1 e Fase 2) secondo la ISO/IEC 17021-1:2015, con audit di sorveglianza annuali e rinnovo ogni tre anni. Il certificato è un Certificato di Conformità rilasciato By CAS, al di fuori dell'accreditamento EGAC di CAS, ed è verificabile su CAS CertSearch.
Domande frequenti
Domande frequenti
La certificazione ISO/IEC 27017 di CAS è accreditata?
No. CAS rilascia i certificati ISO/IEC 27017 By CAS, sotto la propria responsabilità e al di fuori del proprio accreditamento EGAC, che copre esclusivamente ISO 9001, 14001, 45001, 22000, 50001 e 22301. Il certificato riporta il marchio CAS, non i simboli EGAC o IAF, ed è verificabile su CAS CertSearch.
Serve prima la certificazione ISO/IEC 27001?
No. La ISO/IEC 27001 stabilisce i requisiti per un sistema di gestione per la sicurezza delle informazioni; la ISO/IEC 27017 fornisce linee guida sui controlli di sicurezza delle informazioni per i servizi cloud, basate sulla ISO/IEC 27002. CAS rilascia il certificato ISO/IEC 27017 come Certificato di Conformità autonomo, non come estensione di un certificato ISO/IEC 27001. Un'organizzazione può possedere entrambi i certificati, e i due audit possono svolgersi insieme.
È rivolta ai fornitori o ai clienti di servizi cloud?
A entrambi. Il documento fornisce linee guida per il cliente del servizio cloud e per il fornitore del servizio cloud. Il campo di applicazione riportato sul certificato indica quali servizi cloud sono stati sottoposti ad audit e in quale ruolo: fornitore, cliente o entrambi.
Pronti per la certificazione ISO/IEC 27017:2026?
Descriveteci la vostra organizzazione e il campo di applicazione: vi risponderemo con una proposta con i costi, di norma entro due giorni lavorativi. Senza impegno.