Responsabilità condivisa
Chi fa cosa tra cliente e fornitore va scritto, assegnato e rivisto. Senza una matrice chiara, ciascuna parte dà per scontato che se ne occupi l'altra.
ISO/IEC 27017:2026 · Sicurezza delle informazioni nei servizi cloud
Sicurezza nel cloud: cosa spetta a te come cliente e come fornitore.
Nel cloud una parte della sicurezza la mette il fornitore e una parte la metti tu. Audexa ti chiede prima qual è il tuo ruolo e poi ti guida controllo per controllo su ciò che ti spetta: responsabilità condivisa, isolamento, accesso alle console, log, crittografia e uscita dal servizio.
- 64 controlli dell'edizione 2026
- Guida per cliente, fornitore o entrambi
- Corrispondenze con ISO 27001 e ISO 27018
Autovalutazione ISO 27017Fornitore
61%
Livello di attuazioneDati di esempio
- Governance e responsabilità condivise74%
- Identità e accesso alla console cloud58%
- Virtualizzazione e isolamento66%
- Log e monitoraggio49%
- Crittografia e gestione delle chiavi55%
64 controlli della ISO/IEC 27017:2026 con guida e passi per soddisfarli
14 aree, dalla governance cloud alle modifiche dell'infrastruttura
80 corrispondenze ISO 27017 ↔ ISO 27001 per riutilizzare le risposte
43 corrispondenze ISO 27017 ↔ ISO 27018
Cosa aggiunge la ISO 27017
La ISO 27017 porta la sicurezza delle informazioni nel concreto dei servizi cloud.
È un codice di buone pratiche che estende i controlli della ISO/IEC 27002 con indicazioni specifiche per clienti e fornitori di servizi cloud. L'edizione 2026 segue la numerazione della ISO/IEC 27002:2022.
Accordo con il partner cloud
Obblighi di sicurezza, notifica di incidenti e modifiche, ubicazione dei dati e uscita dal servizio si concordano nel contratto.
Isolamento tra clienti
Il fornitore deve separare gli ambienti virtuali di ogni cliente e cancellare in modo sicuro le risorse condivise prima di riutilizzarle.
Accesso amministrativo
Console, API e piano di controllo concentrano il rischio: identità federate, credenziali root protette e accessi privilegiati rivisti.
Log e supervisione
Registrazione delle attività del piano di controllo, monitoraggio dell'uso e un riferimento orario comune tra cliente e fornitore.
Uso non autorizzato del cloud
L'edizione 2026 include il rilevamento dei servizi cloud usati senza approvazione, oltre all'uso improprio del servizio e degli account dei clienti.
Come ti aiuta Audexa
Un'autovalutazione cloud che tiene conto del tuo ruolo.
Il questionario, il piano d'azione e le evidenze si adattano a seconda che tu consumi servizi cloud, li fornisca o entrambe le cose.
Valutare
Solo le domande del tuo ruolo.
Domanda preliminare
Indichi se sei cliente, fornitore o entrambi e vedi quante domande avrà il tuo questionario.
Come valutarlo
Ogni controllo spiega cosa verificare e quando la risposta è Sì, Parziale o No.
Applicabilità motivata
Segna ciò che non si applica o è fuori perimetro e lascia scritto perché.
Rimediare
Passi concreti per ogni lacuna.
Come soddisfarlo
Passi, evidenze attese, responsabile suggerito, criterio di chiusura e quando rivederlo.
Piano di attività
I rilievi diventano attività con sottoattività, responsabile e date.
Policy cloud e SaaS
Parti dalla «Politica di sicurezza cloud e SaaS» e dalla «Politica sulla sicurezza delle informazioni», i 2 modelli collegati a ISO 27017 nella libreria di 67.
Dimostrare
Evidenze per l'organismo di certificazione e per i tuoi clienti.
Archivio delle evidenze
Matrice delle responsabilità, contratti, log e prove collegati a ogni controllo.
Report PDF ed Excel
Punteggio, rilievi e piano d'azione pronti per la direzione o per l'audit.
Riaudit
Valuta di nuovo man mano che chiudi le lacune e misura l'evoluzione.
Alcune funzionalità dipendono dal piano e dai moduli attivi.
Cliente, fornitore o entrambi
Ogni ruolo vede la guida che gli spetta.
Un cliente cloud verifica come acquista, configura e controlla i propri servizi. Un fornitore verifica cosa offre ai clienti: matrice pubblicata, isolamento, log disponibili e opzioni di crittografia. Un MSP che usa l'IaaS di terzi e fornisce un SaaS seleziona entrambi i ruoli.
- Domande comuni sempre visibili
- Guida per il cliente: inventario, approvazione dei servizi, piano di uscita
- Guida per il fornitore: isolamento, notifica di modifiche e incidenti
- Numero di domande visibile prima di iniziare
Domanda preliminare ISO 27017Il tuo ruolo
- Cliente di servizi cloud40 domande
- Fornitore di servizi cloud35 domande
- Cliente e fornitore (MSP)64 domande
Cosa copre
I temi che davvero si verificano in un ambiente cloud.
Il questionario è organizzato in 14 aree, dalla governance cloud all'infrastruttura come codice. Ogni controllo indica come valutarlo e come soddisfarlo, con evidenze concrete.
- Matrice di responsabilità condivisa e accordo con il fornitore
- Isolamento dei tenant e accesso amministrativo alle console
- Crittografia e gestione delle chiavi (BYOK e HYOK), reti virtuali e log
- Notifica di modifiche e incidenti e uscita dal servizio
Rilievi ISO 27017Piano d'azione
- Matrice delle responsabilità non rivistaGovernance
- Credenziali root senza MFAAccesso alla console
- Piano di uscita dal servizioNon documentato
- Log del piano di controlloCentralizzati
ISO 27001 e ISO 27018
Collega la ISO 27017 alla tua ISO 27001 e alla tua ISO 27018.
Ogni coppia di controlli ha una relazione, un livello di copertura (alta, parziale o bassa), una motivazione e una fonte. Quando crei l'audit, Audexa stima quanto coprono i tuoi altri audit, e le risposte con copertura alta arrivano proposte con l'indicazione «Rivedilo» perché una persona le confermi.
- 80 corrispondenze con ISO/IEC 27001:2022
- 43 corrispondenze con ISO/IEC 27018 per i dati personali nel cloud
- «Ciò che hai già copre ~X%» prima di iniziare
- Solo la copertura alta propone un «Sì»
Corrispondenze ISO 27017123 coppie
- ISO/IEC 27001:202280 coppie
- ISO/IEC 27018:202543 coppie
- Copertura altaPropone un Sì · «Rivedilo»
- Copertura parziale o bassaNessuna risposta proposta
Come funziona
Tre passi per mettere in ordine la sicurezza dei tuoi servizi cloud.
Indica il tuo ruolo
Cliente, fornitore o entrambi. Guarda quanto copre ciò che hai già e indica l'applicabilità di ogni controllo.
Valuta con la guida
Rispondi controllo per controllo con Sì, Parziale, No o Non applicabile e ottieni punteggio e rilievi.
Chiudi le lacune e dimostralo
Assegna attività, approva la policy cloud, raccogli le evidenze e ripeti la valutazione.
Piani
La ISO 27017 è inclusa dal piano Premium.
I piani Free e Core non includono la ISO 27017. Il prezzo dipende dalle dimensioni del tuo team: nella demo ti diamo un'offerta a prezzo chiuso.
Premium
ConsigliatoPer i team che gestiscono uno o più servizi cloud.
- ISO 27017 e gli altri nuovi framework della 1.6.1
- 10 audit al mese e 3 utenti
- Policy, evidenze, attività e riaudit
- Report PDF ed Excel e assistente Aude
- 200 asset per sezione
Diamond
Per fornitori e MSP con più team.
- Audit e utenti illimitati
- Tutto ciò che include Premium
- Asset illimitati
- vRadar: esposizione CVE dell'inventario
Prima e dopo
La sicurezza cloud con i fogli di calcolo o con Audexa.
AreaSenza piattaformaCon Audexa
Responsabilità
Ognuno pensa che se ne occupi l'altro
Guida per ruolo: cliente, fornitore o entrambi
Lacune
Appunti sparsi dopo una revisione
Attività con sottoattività, responsabile e criterio di chiusura
Evidenze
Contratti e screenshot in cartelle
Archivio delle evidenze collegato a ogni controllo
ISO 27001
Rifare il lavoro per il cloud
80 corrispondenze motivate
Follow-up
Una revisione all'anno
Riaudit ed evoluzione misurabile
Domande frequenti
Le domande che ci fanno più spesso su ISO 27017.
Audexa mi certifica ISO 27017?
No. La certificazione la rilascia un organismo di certificazione accreditato, di solito nell'ambito di una certificazione ISO 27001. Audexa ti aiuta a prepararti con un'autovalutazione guidata, un piano d'azione e le tue evidenze.
La ISO 27017 è per i fornitori cloud o anche per i clienti?
Per entrambi. La norma dà indicazioni a chi fornisce servizi cloud e a chi li usa. In Audexa scegli il tuo ruolo prima del questionario e vedi la guida che ti spetta; se sei entrambi, come un MSP, selezioni tutti e due.
Cosa cambia nell'edizione 2026?
Audexa usa l'edizione 2026, che segue la numerazione della ISO/IEC 27002:2022 e mantiene controlli specifici del cloud come i ruoli condivisi, l'accordo con il partner cloud, la separazione negli ambienti virtuali e il rilevamento dell'uso non autorizzato di servizi cloud.
Abbiamo già la ISO 27001. Dobbiamo ripartire da zero?
No. Molti controlli della ISO 27017 estendono controlli della ISO 27002 su cui lavori già per la ISO 27001. Audexa ha 80 corrispondenze con la ISO 27001 e 43 con la ISO 27018, stima quanto copre il lavoro che hai già e, quando la copertura è alta, propone la risposta perché una persona la riveda.
Il questionario riproduce la norma?
No. Il testo della ISO/IEC 27017 appartiene a ISO. Le domande, la guida di valutazione e i passi per ogni controllo sono scritti da Audexa.
Quale piano serve per la ISO 27017?
La ISO 27017 è disponibile nei piani Premium e Diamond. Free e Core non la includono. Nella demo vediamo quale piano si adatta al tuo team.
Richiedi una demo
Ti mostriamo la tua autovalutazione ISO 27017.
In una demo di 30 minuti vediamo la scelta tra cliente e fornitore, la guida per controllo e il piano d'azione.
- Vediamo quale ruolo hai nei tuoi servizi cloud.
- Ti mostriamo quanto copre già il tuo lavoro ISO 27001.
- Ti spieghiamo quale piano si adatta al tuo team.