資訊專欄INFORMATION COLUMN
摘要：云計算技術徹底改變了組織管理和存儲信息的方式。信息安全管理系統不是指實施信息安全功能的實際系統，應用或工具。該標準被稱為，可以根據標準與有效的信息安全管理系統一起實現。鑒于云計算技術自成立以來一直受到安全和隱私問題的困擾，這一點更為重要。
云計算技術徹底改變了組織管理和存儲信息的方式。組織曾經擁有和維護自己的數據，由于云計算的易用性以及節約成本的優勢，許多組織現在已經轉向基于云計算的模式。
但是擁有很多優勢的云計算技術并不是沒有成本。在云計算領域，有著最為引人關注的因素：那就是安全。
如果人們搜索組織在應用云計算所面臨的陷阱和關注問題時，就會發現安全這個主題將會反復出現。一個希望將使用云服務的公司必須權衡云環境提供的好處，以避免與委托其敏感數據相關的組織所帶來的風險。這些數據往往包括個人身份信息（以下稱為PII），這通常是經常受到審查的數據類別，并受到一些最嚴格的法律和法規要求的約束。
云計算服務提供商的客戶希望確保安全，他們委托一家云計算服務提供商將其個人身份信息（PII）保持至少與他們控制的數據相同的安全標準水平。對于一些組織來說，風險甚至更高，因為這是由某些法律和法規要求規定的，例如電子個人健康信息的“健康保險便攜性和責任法案”（HIPAA）以及敏感財務的金融服務現代化法案（GLBA（GLBA）信息。
許多云服務提供商認為他們對客戶的數據一無所知。然而，如果涉及個人健康信息或敏感財務數據的安全漏洞，云服務提供商可能會在適當的安全和隱私措施不到位的情況下遭遇到高額罰款和聲譽損失。而一個有效的信息安全管理系統具有針對云安全和針對個人身份信息（PII）的隱私的特定控制考慮，這對云服務提供商來說是無價的。
人們可能對信息安全管理系統有什么疑問。要定義一個信息安全管理系統，首先了解一下它不是什么。信息安全管理系統不是指實施信息安全功能的實際“系統”，“應用”或“工具”。
更廣泛的定義如下：信息安全管理系統代表組織解決信息安全問題的整體方法。這包括高層管理人員為了解決這些風險而采取的行動，可以通過執行以下操作來證明其行為：
?采用自上而下的信息安全方法，鼓勵組織內的人員了解信息安全最佳實踐
?根據其組織的獨特威脅和漏洞進行風險評估
?通過使用和選擇內部審計師，主動尋找問題和關注點
?監測和測量信息安全管理系統的性能和有效性
?建立持續改進信息安全管理體系的承諾
?確保實施安全控制并適用于其組織的目標和宗旨
最常用來展示組織有效實施信息安全管理體系的標準是ISO 27001標準。 ISO 27001標準是基本框架，幾乎基于云計算或其他方面的所有服務提供商都可以努力實施。值得注意的是，ISO 27001為實施有效的信息安全管理體系的組織提供了許多好處，但有兩個可能是最相關的，值得一提：
?有效的信息安全管理系統向潛在客戶和當前客戶表明服務組織意味著保護其所托付和負責的數據的業務。
?有效的信息安全管理系統幫助組織建立一種前瞻和主動的方法來解決信息安全問題，而不是通過一般側重于歷史信息的審計文化帶來一種落后的觀念。
上述要點可能足以使任何服務機構考慮實施信息安全管理系統。組織可以通過向客戶展示認真處理信息來享受的聲譽效益難以衡量。組織可以通過在發生安全事件的情況下實施有效的響應程序來節省成本也是無法估量的。當然，古老的格言仍然提醒人們：沒有準備就是準備失敗，這是ISO的本質。
但是，在ISO 27001標準下，這一點并沒有停止，特別是對于交易必須更加重視信息安全的云服務提供商而言。除了符合ISO 27001標準的要求之外，組織還可以實施一系列措施，在處理敏感數據（例如個人身份信息）時增加安全和隱私措施。該標準被稱為ISO 27018，可以根據ISO 27001標準與有效的信息安全管理系統一起實現。
ISO 27018，另外被稱為ISO ／ IEC 27018：2014，是建立在一個組織的信息安全管理系統的基礎上，通過建立一組專門用于保護PII在公共云中作為PII處理器的基于隱私的控制，重點是保護云中的個人身份信息（PII）。 ISO 27018提供了專門用于保護個人敏感數據的新的控件子集。
以下列出了對某些ISO 27018要求的高級概述：
?為云計算客戶提供訪問，糾正和清除自己的個人身份信息（PII）的能力
?確保數據根據其預期目的進行處理
?刪除臨時文件的步驟
?實施定義的披露程序
?如果使用分包商，提供公開透明的通知
?通過執行違規通知程序，鼓勵云服務提供商問責
?對云服務提供商的更加嚴格的信息安全要求
希望在考慮上述概述之后，更清楚的是，實施符合ISO 27001標準的信息安全系統對于服務機構來說是非常重要的，但云計算服務提供商希望能夠解決其客戶的任何安全隱私問題，將這些控制采用ISO 27018標準可能是組織的最佳選擇。
隨著技術的發展，其潛在的威脅和漏洞也隨之演化。有效的信息安全管理系統為組織提供了一種主動，前瞻性的信息安全方法。鑒于云計算技術自成立以來一直受到安全和隱私問題的困擾，這一點更為重要。因為風險只會繼續增加。
云服務提供商現在可能需要考慮如何使其組織從實施信息安全管理系統中獲益，該系統將其27001控制與ISO 27018目標相一致。
文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。
轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/5005.html
摘要：日前，云平臺成功獲得由國際知名認證機構頒發的，云安全管理體系與公有云個人信息保護管理體系證書。認證是首個云上個人數據保護的國際標準，用以保護公共云中的個人身份信息不受侵犯，主要針對云服務商對云中個人數據和隱私的安全防護的標準認證。日前，UCloud云平臺成功獲得由國際知名認證機構BSI頒發的，ISO 27017云安全管理體系與ISO 27018公有云個人信息保護管理體系證書。這標志著UClo...
摘要：云上安全不容忽視，華為云技術硬實力織成保護網在云計算時代，最值錢的莫過于數據。今年，以對云安全的高強度投入讓華為云收獲到十余項權威安全合規認證。 云上安全不容忽視，華為云技術硬實力織成保護網 在云計算時代，最值錢的莫過于數據。作為企業的核心資產，各行業對于云上數據信息安全都保持著高度重視。把數據放到云上是否足夠安全，已經成為各個企業在上云時考慮最多的問題。近日，工業和信息化部網絡安全管...
摘要：多云是云計算客戶無需在單個云平臺開展業務的一種方法，而是選擇多個云平臺來優化工作負載和業務成果。定制云服務供應商在企業多云策略中的優勢優化工作負載。Big－box是一家品牌折扣購物店，顧客在店里有很多的選擇，可以獲得物美價廉的商品。但是，當這些顧客需要參加會議而采購高檔服裝時，他們不會去這里購物。在試圖提供所有功能的超大型公共云提供商和專門為特定工作負載量身定制其云環境的云服務供應商（CSP...
摘要：近期，歐洲等綜合性標準也完善了數據中心領域的認證。歐洲地區更多地采用或德國或是德國技術認證的通用名稱，其中包括數據中心認證。用戶需要更好地了解他們可以用來評估其數據中心選擇的標準。當企業計劃構建自己的數據中心或采用托管數據中心服務時，行業標準就是一切。如果沒有量化數據中心在基礎設施、冷卻、電源、安全性和可靠性方面的表現，企業可能難以做出明智的決定。那么隨著各種標準的不斷推廣和普及，企業如何理...
摘要：當企業計劃構建自己的數據中心或采用托管數據中心服務時行業標準就是一切。近期歐洲等綜合性標準也完善了數據中心領域的認證。歐洲地區更多地采用或德國或是德國技術認證的通用名稱其中包括數據中心認證。總結說數據中心標準格局的未來充滿活力。當企業計劃構建自己的數據中心或采用托管數據中心服務時,行業標準就是一切。如果沒有量化數據中心在基礎設施、冷卻、電源、安全性和可靠性方面的表現,企業可能難以做出明智的決...
閱讀 1103·2021-11-16 11:45
閱讀 3123·2021-10-13 09:40
閱讀 714·2019-08-26 13:45
閱讀 1187·2019-08-26 13:32
閱讀 2167·2019-08-26 13:23
閱讀 911·2019-08-26 12:16
閱讀 2823·2019-08-26 11:37
閱讀 1747·2019-08-26 10:32
