Responsabilidad compartida
Quién hace qué entre cliente y proveedor tiene que estar escrito, asignado y revisado. Sin una matriz clara, cada parte da por hecho que la otra se ocupa.
ISO/IEC 27017:2026 · Seguridad en servicios en la nube
Seguridad en la nube: lo que te toca como cliente y como proveedor.
En la nube, parte de la seguridad la pone tu proveedor y parte la pones tú. Audexa te pregunta primero qué papel tienes y te guía control a control por lo que te corresponde: responsabilidad compartida, aislamiento, acceso a consolas, registros, cifrado y salida del servicio.
- 64 controles de la edición 2026
- Guía para cliente, proveedor o ambos
- Correspondencias con ISO 27001 e ISO 27018
Autoevaluación ISO 27017Proveedor
61%
Grado de implantaciónDatos de ejemplo
- Gobierno y responsabilidad compartida74%
- Identidades y acceso a la consola58%
- Virtualización y aislamiento66%
- Registros y monitorización49%
- Cifrado y gestión de claves55%
64 controles de ISO/IEC 27017:2026 con guía y pasos para cumplirlos
14 áreas: del gobierno cloud a los cambios de infraestructura
80 correspondencias ISO 27017 ↔ ISO 27001 para reutilizar respuestas
43 correspondencias ISO 27017 ↔ ISO 27018
Qué aporta ISO 27017
ISO 27017 aterriza la seguridad de la información en los servicios cloud.
Es un código de buenas prácticas que amplía los controles de ISO/IEC 27002 con orientación específica para clientes y proveedores de servicios en la nube. La edición 2026 sigue la numeración de ISO/IEC 27002:2022.
Acuerdo con el socio cloud
Las obligaciones de seguridad, la notificación de incidentes y de cambios, la ubicación de los datos y la salida del servicio se pactan por contrato.
Aislamiento entre clientes
El proveedor tiene que segregar los entornos virtuales de cada cliente y borrar de forma segura los recursos compartidos antes de reutilizarlos.
Acceso administrativo
Las consolas, las API y el plano de control concentran el riesgo: identidades federadas, credenciales raíz protegidas y acceso privilegiado revisado.
Registros y supervisión
Registro de la actividad del plano de control, monitorización del uso y una referencia horaria común entre cliente y proveedor.
Uso no autorizado de la nube
La edición 2026 incluye detectar servicios cloud que se usan sin aprobación, además del uso indebido del servicio y de las cuentas de clientes.
Cómo te ayuda Audexa
Una autoevaluación cloud que entiende tu papel.
El cuestionario, el plan de acción y las evidencias se adaptan a si consumes servicios en la nube, los prestas o haces las dos cosas.
Evaluar
Solo las preguntas que corresponden a tu papel.
Perfil previo
Indicas si eres cliente, proveedor o ambos, y ves cuántas preguntas tendrá tu cuestionario.
Cómo evaluarlo
Cada control explica qué revisar y cuándo la respuesta es Sí, Parcial o No.
Aplicabilidad con motivo
Marca lo que no aplica o queda fuera de alcance y deja escrito por qué.
Remediar
Pasos concretos para cada hueco.
Cómo cumplirlo
Pasos, evidencias esperadas, responsable sugerido, criterio de cierre y cuándo revisarlo.
Plan de tareas
Los hallazgos se convierten en tareas con subtareas, responsable y fechas.
Política cloud y SaaS
Parte de la «Política de Seguridad Cloud y SaaS» y de la «Política de Seguridad de la Información», las 2 plantillas vinculadas a ISO 27017 en la biblioteca de 67.
Demostrar
Evidencias para tu certificadora y para tus clientes.
Caja de evidencias
Matriz de responsabilidad, contratos, registros y pruebas vinculados a cada control.
Informe PDF y Excel
Puntuación, hallazgos y plan de acción listos para dirección o para la auditoría.
Reauditoría
Vuelve a evaluar cuando cierres brechas y mide la evolución.
La disponibilidad de algunas funciones depende del plan contratado y de los módulos activos.
Cliente, proveedor o ambos
Cada papel ve la guía que le corresponde.
Un cliente cloud revisa cómo contrata, configura y vigila sus servicios. Un proveedor revisa qué ofrece a sus clientes: matriz publicada, aislamiento, registros disponibles y opciones de cifrado. Un MSP que usa IaaS de un tercero y presta un SaaS marca los dos papeles.
- Preguntas comunes que se muestran siempre
- Guía del cliente: inventario, aprobación de servicios, plan de salida
- Guía del proveedor: aislamiento, notificación de cambios e incidentes
- Número de preguntas visible antes de empezar
Perfil previo ISO 27017Tu papel
- Cliente de servicios en la nube40 preguntas
- Proveedor de servicios en la nube35 preguntas
- Cliente y proveedor (MSP)64 preguntas
Qué cubre
Los temas que de verdad se revisan en un entorno cloud.
El cuestionario se organiza en 14 áreas que van del gobierno cloud a la infraestructura como código. Cada control trae cómo evaluarlo y cómo cumplirlo, con evidencias concretas.
- Matriz de responsabilidad compartida y acuerdo con el proveedor
- Aislamiento de tenants y acceso administrativo a consolas
- Cifrado y gestión de claves (BYOK y HYOK), redes virtuales y registros
- Notificación de cambios e incidentes y salida del servicio
Hallazgos ISO 27017Plan de acción
- Matriz de responsabilidad sin revisarGobierno
- Credenciales raíz sin MFAAcceso a consola
- Plan de salida del servicioSin documentar
- Registros del plano de controlCentralizados
ISO 27001 e ISO 27018
Conecta ISO 27017 con tu ISO 27001 y tu ISO 27018.
Cada pareja de controles tiene una relación, una cobertura (alta, parcial o baja), su justificación y su fuente. Al crear la auditoría, Audexa estima cuánto te cubren tus otras auditorías, y las respuestas con cobertura alta llegan propuestas con la marca «Revísalo» para que una persona las confirme.
- 80 correspondencias con ISO/IEC 27001:2022
- 43 correspondencias con ISO/IEC 27018 para datos personales en la nube
- «¿Cuánto me cubre lo que ya tengo?» antes de empezar
- Solo la cobertura alta propone un «Sí»
Correspondencias ISO 27017123 parejas
- ISO/IEC 27001:202280 parejas
- ISO/IEC 27018:202543 parejas
- Cobertura altaPropone un Sí · «Revísalo»
- Cobertura parcial o bajaSin respuesta propuesta
Cómo funciona
Tres pasos para ordenar la seguridad de tus servicios cloud.
Indica tu papel
Cliente, proveedor o ambos. Mira cuánto te cubre lo que ya tienes y marca la aplicabilidad de cada control.
Evalúa con guía
Responde control a control con Sí, Parcial, No o No aplica y obtén tu puntuación y tus hallazgos.
Cierra y demuestra
Asigna tareas, aprueba la política cloud, reúne evidencias y repite la evaluación.
Planes
ISO 27017 está incluida desde el plan Premium.
Los planes Free y Core no incluyen ISO 27017. El precio depende del tamaño de tu equipo: te damos una propuesta cerrada en la demo.
Premium
RecomendadoPara equipos que gestionan uno o varios servicios cloud.
- ISO 27017 y el resto de frameworks nuevos de la 1.6.1
- 10 auditorías al mes y 3 usuarios
- Políticas, evidencias, tareas y reauditorías
- Informes PDF y Excel y asistente Aude
- 200 activos por sección
Diamond
Para proveedores y MSP con varios equipos.
- Auditorías y usuarios ilimitados
- Todo lo de Premium
- Activos ilimitados
- vRadar: exposición CVE del inventario
Antes y después
Seguridad cloud en hojas de cálculo frente a Audexa.
ÁreaSin plataformaCon Audexa
Responsabilidades
Cada parte supone que la otra se ocupa
Guía por papel: cliente, proveedor o ambos
Brechas
Notas sueltas tras una revisión
Tareas con subtareas, dueño y criterio de cierre
Evidencias
Contratos y capturas en carpetas
Caja de evidencias vinculada a cada control
ISO 27001
Rehacer el trabajo para la nube
80 correspondencias con su justificación
Seguimiento
Una revisión al año
Reauditoría y evolución medible
Preguntas frecuentes
Lo que suelen preguntarnos sobre ISO 27017.
¿Audexa me certifica en ISO 27017?
No. La certificación la emite una entidad de certificación acreditada, normalmente dentro de una certificación ISO 27001. Audexa te ayuda a prepararte con una autoevaluación guiada, un plan de acción y tus evidencias.
¿ISO 27017 es para proveedores cloud o también para clientes?
Para los dos. La norma da orientación a quien presta servicios en la nube y a quien los contrata. En Audexa eliges tu papel antes del cuestionario y ves la guía que te toca; si eres las dos cosas, como un MSP, marcas ambos.
¿Qué cambia en la edición 2026?
Audexa usa la edición 2026, que sigue la numeración de ISO/IEC 27002:2022 y mantiene controles propios de la nube, como los roles compartidos, el acuerdo con el socio cloud, la segregación en entornos virtuales y la detección del uso no autorizado de servicios cloud.
Ya tenemos ISO 27001. ¿Tenemos que empezar de cero?
No. Muchos controles de ISO 27017 amplían controles de ISO 27002 que ya trabajas en ISO 27001. Audexa tiene 80 correspondencias con ISO 27001 y 43 con ISO 27018, te estima cuánto te cubre lo que ya tienes y, cuando la cobertura es alta, te propone la respuesta para que una persona la revise.
¿El cuestionario reproduce la norma?
No. El texto de ISO/IEC 27017 pertenece a ISO. Las preguntas, la guía de evaluación y los pasos para cumplir cada control los ha redactado Audexa.
¿Qué plan necesito para ISO 27017?
ISO 27017 está disponible en los planes Premium y Diamond. Free y Core no la incluyen. En la demo vemos qué plan encaja con tu equipo.
Solicitar demo
Te enseñamos tu autoevaluación ISO 27017.
En una demo de 30 minutos recorremos el perfil de cliente o proveedor, la guía por control y el plan de acción.
- Vemos qué papel tienes en tus servicios cloud.
- Te mostramos cuánto te cubre lo que ya tienes de ISO 27001.
- Te explicamos qué plan encaja con tu equipo.