ISO 27017 y 27018: las extensiones cloud que merece la pena añadir, y cuándo no

Llega un cuestionario de cliente preguntando si tienes ISO 27017 e ISO 27018. Tienes la 27001. La pregunta es si merece la pena hacer las extensiones, y la respuesta depende casi por completo de en qué lado de la relación cloud estés.

Ninguna es una certificación independiente. Ambas son códigos de buenas prácticas que extienden la guía de ISO 27002, y ambas se auditan como extensión de una certificación ISO 27001 existente, normalmente en la misma auditoría, por la misma entidad y con un coste incremental moderado.

ISO 27017: controles específicos de cloud

ISO 27017 añade guía de implantación para controles ya existentes de ISO 27002 en contexto cloud, más siete controles adicionales específicos de nube. Se dirige tanto a proveedores como a clientes de servicios cloud, e indica a qué parte va cada pieza de guía, que es lo genuinamente útil.

Los controles adicionales cubren:

• Roles y responsabilidades compartidas en un entorno de computación en nube. El reparto documentado de quién hace qué, por servicio. Es el control que casi todas las organizaciones descubren que nunca han escrito.
• Retirada de los activos del cliente al terminar el servicio: devolución y borrado de datos, con plazos.
• Segregación en entornos virtuales. Aislamiento entre inquilinos.
• Bastionado de máquinas virtuales.
• Seguridad operativa del administrador. Los procedimientos de operaciones privilegiadas.
• Monitorización de los servicios cloud, incluido qué puede observar el cliente sobre su propio uso.
• Alineación de la gestión de seguridad de redes virtuales y físicas.

Si eres proveedor de servicios cloud —lo que incluye a una empresa SaaS, algo que mucha gente olvida—, la 27017 es directamente relevante y sus controles casan con lo que tus clientes preguntan en cada revisión de seguridad. El control de salida y borrado en particular responde a una pregunta que sale en toda negociación con una empresa grande.

Si eres solo cliente cloud, la norma sigue siendo útil como lista de verificación, pero certificarte contra ella dice menos. El certificado señala "consumimos nube de forma responsable", que es una afirmación más débil de lo que los clientes suelen querer.

ISO 27018: datos personales en nubes públicas

ISO 27018 es un código de buenas prácticas para proteger información de identificación personal en nubes públicas, escrito para organizaciones que actúan como encargados del tratamiento en el lenguaje del RGPD.

Sus disposiciones cubren consentimiento y elección, limitación de la finalidad, transparencia sobre subencargados y ubicaciones de datos, restricciones al uso de los datos del cliente para fines propios del proveedor (señaladamente publicidad), obligaciones en las comunicaciones a autoridades, devolución y borrado de datos, y apoyo a las obligaciones del cliente frente a los interesados.

El solape con el artículo 28 del RGPD es importante, y esa es la gracia: la 27018 es una forma de demostrarle a un responsable del tratamiento que tú, como su encargado, tienes los controles de esa parte en su sitio, auditados por un tercero, sin que tenga que auditarte él.

Advertencia importante: la certificación ISO 27018 no es cumplimiento del RGPD ni lo sustituye. Cubre los controles del encargado; no aborda la base jurídica, los derechos de los interesados como responsable, los mecanismos de transferencia internacional ni tus obligaciones de contrato de encargo. Afirmar lo contrario en marketing es una afirmación con la que los reguladores han tenido problemas. Es evidencia que apoya el cumplimiento, no el cumplimiento.

Quién las pide de verdad

En nuestra experiencia las peticiones se agrupan:

• Las compras de grandes empresas en Europa piden 27001 y, cada vez más, 27018 cuando hay datos personales de por medio.
• El sector público y los compradores regulados piden lo que mapee con su propio marco, que en España es más probable que sea el ENS que cualquiera de las dos extensiones.
• Los compradores norteamericanos piden SOC 2 y rara vez mencionan la 27017 o la 27018.

Así que la prueba honesta es: ¿estás perdiendo operaciones por esto? Si un cliente concreto o una licitación concreta lo pide, las extensiones son baratas en relación con el ingreso. Si nadie lo ha pedido, añadirlas porque suenan rigurosas es gastar presupuesto de auditoría en un certificado que nadie lee.

Qué cuesta añadirlas

Como ambas extensiones se auditan junto a la 27001, el coste incremental son los días de auditoría adicionales más el trabajo de brecha. Para una empresa que ya tiene la 27001 y corre sobre un hiperescalar, la brecha suele ser:

• Escribir el reparto de responsabilidad compartida por servicio: trabajo real, y útil por sí mismo.
• Documentar el proceso de borrado y devolución de datos con plazos, y probarlo.
• Formalizar la comunicación de subencargados y el proceso de notificación cuando cambian.
• Documentación de aislamiento entre inquilinos, si eres multi-inquilino.
• Evidencia de seguridad operativa del administrador: procedimientos de acceso privilegiado, registro de acciones administrativas y segregación de funciones.

Casi todo esto existe de alguna forma en una empresa SaaS bien llevada. Hacerlo auditable son semanas, no meses, y los artefactos —en particular la matriz de responsabilidad compartida y el procedimiento de borrado— responden a buena parte de los cuestionarios de seguridad que vas a recibir igualmente.

Esa es probablemente la mejor razón para hacerlas. El certificado es una línea en una respuesta a licitación; los documentos que produces para conseguirlo acortan todas las revisiones de seguridad de cliente que vengan después.