A.5.23 Pilvipalveluiden tietoturva: ISO 27001 -standardin mukainen MSP:iden jaettu vastuu

Miksi MSP:n pilvipalveluiden tietoturva hajosi yhdessä yössä

MSP:n pilvitietoturva "rikottiin", kun pilvialustat lakkasivat olemasta pelkkiä toimittajia ja niistä tuli jaetun vastuun ympäristöjä, joita sinun on aktiivisesti hallittava. ISO 27001 A.5.23 tekee tästä muutoksesta selkeän edellyttämällä, että sinä hallitset pilvipalveluiden valintaa, käyttöä ja poistumista tietoturvanhallintajärjestelmäsi mukaisesti sen sijaan, että luottaisit pelkästään toimittajien sertifikaatteihin. Tämä odotus heijastaa ISO 27001:2022 A.5.23 -standardin ja valtavirran pilvitietoturvaohjeistuksen sanamuotoa, jossa korostetaan määriteltyjä prosesseja pilvipalveluiden hankkimiseksi, käyttämiseksi, hallitsemiseksi ja poistumiseksi pelkkien toimittajien takuiden sijaan, kuten ISO 27001 A.5.23 -ohjeistuksen kommenteissa korostetaan.

Pilvipalvelut mahdollistivat hallittujen palveluntarjoajien nopean kasvun, mutta ne paljastivat myös omistajuudessa, hallinnossa ja todisteissa olevia aukkoja, joita vanhan toimittajamallin ei koskaan tarvinnut ratkaista. Kun asiakkaat ja auditoijat nyt kysyvät, kuka on vastuussa mistäkin pilvessä, "palveluntarjoaja tekee sen" ei enää riitä. A.5.23 kiteyttää tämän jännitteen odottamalla hallittua ja dokumentoitua lähestymistapaa pilvipalveluiden käyttöön tilapäisten alustavalintojen sijaan.

Pilvipalveluista tulee MSP:iden etu vain silloin, kun vastuuta jaetaan tietoisesti, eikä sitä oletettu.

Pilvipalvelut ovat kasvaneet ulos vanhasta "toimittaja"-ajattelutavasta

Pilvipalvelut ovat kasvaneet yli ajatuksesta, että voit allekirjoittaa sopimuksen, luottaa varmenteeseen ja olettaa turvallisuuden päättyvän palveluntarjoajan reunalla. Hallittujen palveluntarjoajien (MSP) osalta A.5.23 pakottaa sinut tunnustamaan, että identiteetit, kokoonpanot ja päivittäinen toiminta kullakin alustalla kuuluvat nyt tiukasti heidän vastuulleen.

Monet MSP:t kohtelevat pilvipalveluntarjoajia edelleen perinteisinä toimittajina, ja juuri tässä kohtaa A.5.23 alkaa epäonnistua. Vuosien ajan pystyi allekirjoittamaan sopimuksen, luottamaan sertifikaatteihin, lisäämään valvontaa ja jatkamaan. Tämä toimi, kun pilvipalvelu oli vain sähköpostin ylläpitoa tai muutamaa virtuaalikonetta.

Nykyään kokonaiset palveluluettelot toimivat hyperskaalatuilla alustoilla, joissa insinööreilläsi on tehokkaat järjestelmänvalvojan roolit ja automaatiotyökalut, jotka koskevat kymmeniä vuokralaisia samanaikaisesti. Tällaisessa ympäristössä "toimittaja hallitsee tietoturvaa" ei enää pidä paikkaansa. Pilvipalveluntarjoaja suojaa infrastruktuuriaan ja ydinpalveluitaan, mutta sinä päätät identiteeteistä, kokoonpanoista, integraatioista ja suuresta osasta operatiivista sietokykyä. Asiakkaat ymmärtävät tämän yhä enemmän ja odottavat sinun näyttävän, miten jaetut vastuut määritellään ja miten tiimisi suorittaa näitä hallintatoimia päivittäin.

Standardin A.5.23 kohdassa tuodaan nimenomaisesti esiin tämä muutos. Se edellyttää siirtymistä yleisestä toimittajan varmistuksesta aktiiviseen hallintaan siinä, miten pilvialustat tukevat palveluitasi ja asiakkaitasi.

Nykyisen pilvipalvelusi piilevä monimutkaisuus

Pilvipalvelusi piilevä monimutkaisuus tulee ilmeiseksi vasta, kun kirjoitat sen muistiin. Lyhyt ja kohdennettu inventaario paljastaa yleensä paljon enemmän palveluita, tietovirtoja ja järjestelmänvalvojan rooleja kuin odotit, ja juuri sitä A.5.23 haluaa sinun näkevän ja sitten tietoisesti hallitsevan.

Useimmat MSP:t huomaavat, että he tarjoavat paljon enemmän palveluita paljon useammalla tavalla kuin kukaan on tajunnut:

Sisäiset SaaS-työkalut yhteistyöhön, tiketöintiin, asiakkuudenhallintaan ja talouteen.
Julkiset pilvialustat, jotka tukevat hallittua infrastruktuuria, varmuuskopiointia, valvontaa ja tietoturvapalveluita.
Yksittäisten tiimien tai insinöörien valitsemat niche-pilvityökalut tiettyjen ongelmien ratkaisemiseksi.

Yhdessä nämä palvelut luovat verkoston datan sijainneista, järjestelmänvalvojan rooleista, lokeista ja vikatiloista. Ilman keskitettyä näkymää riskit kasaantuvat hiljaa: yksi insinööri hallinnoi useiden vuokralaisten globaalia osaamista, "väliaikainen" SaaS-työkalu muuttuu liiketoimintakriittiseksi, ja varmuuskopiointipalvelua ei ole koskaan testattu todellisissa palautustilanteissa. Tietoturvanhallintajärjestelmäalusta, kuten ISMS.online, voi auttaa ylläpitämään tätä keskitettyä näkymää, jotta monimutkaisuus ei pysy piilossa.

Jotta muutos olisi konkreettinen, on hyödyllistä verrata vanhaa toimittaja-ajattelutapaa pilvihallinnon A.5.23-odotuksiin.

Lyhyt vertailu osoittaa, miten lähestymistapasi on muutettava:

Aspect	Vanha toimittajamalli	A.5.23 pilvipalveluiden hallinta MSP:ille
Palveluntarjoajan näkymä	"Luotettava toimittaja hoitaa turvallisuuden."	"Ole kumppani määritellyssä jaetun vastuun mallissa."
Valvonnan laajuus	Sopimus ja perusvalvonta	Koko elinkaari: valinta, käyttö, muutos, poistuminen
Todisteet, joita pidät hallussasi	Todistukset ja sopimukset	Rekisterit, riskitietueet, matriisit, elinkaaren aikaiset esineet
Omistajuus MSP:n sisällä	Implisiittinen, henkilöstä riippuva	Eksplisiittiset roolit, runbookit ja ISMS-integraatio

Kun näet tilanteesi tämän linssin läpi, on helpompi päättää, missä tarvitset rakennetta ad hoc -ratkaisujen sijaan.

Missä asiakkaat ja tilintarkastajat paljastavat halkeamat

Asiakkaat ja tilintarkastajat paljastavat pilvipalvelujesi halkeamat esittämällä selkeitä kysymyksiä palveluista, datasta ja vastuista. Heidän kysymyksensä korostavat usein omistajuuden, elinkaaren ja todisteiden puutteita kauan ennen kuin tietomurto tai käyttökatko tapahtuu. Kolmannen osapuolen riskien hallinta ja toimittajien vaatimustenmukaisuuden seuranta mainittiin suurimpana haasteena 41 % organisaatioista vuoden 2025 ISMS.online-kyselyssä.

Tyypillisiä kysymyksiä ovat:

Mitä pilvipalveluita käytätte puolestamme, ja missä tietomme tallennetaan?
Kuka on vastuussa varmuuskopioinnista, identiteetistä, lokien tallentamisesta ja konfiguroinnista kullakin alustalla?
Miten pilvipalveluntarjoajia valvotaan, tarkistetaan ja tarvittaessa myydään?
Miten tuette meitä, jos haluamme luopua jostakin palvelusta?

Nämä kysymykset paljastavat, missä kohtaa nykyinen lähestymistapasi on epämääräinen. Jos vastauksesi riippuvat kokouksessa läsnäolijoista tai edellyttävät jonkun menemistä tarkistamaan asia, A.5.23 on jo ongelma. Valvonta odottaa, että sinulla on prosessit pilvipalveluiden hankkimiseen, käyttöön, hallintaan ja poistumiseen määriteltyjen tietoturvavaatimusten mukaisesti. Hallitun palveluntarjoajan kannalta tämä tarkoittaa siirtymistä improvisoidusta pilvikerroksesta strukturoituun, jota tilintarkastajat ja asiakkaat voivat testata.

Tässä kohtaa pilvipalveluiden reaaliaikainen rekisteri, joka on linkitetty riskeihin, vastuisiin ja elinkaaritietoihin, on pikemminkin välttämätön kuin mukava lisä.

Varaa demo

Mitä ISO 27001 A.5.23 todella sinulta vaatii

ISO 27001 A.5.23 -standardi kehottaa sinua käsittelemään pilvipalveluita hallittuna palvelumaisemana, jolla on selkeät säännöt, vastuut ja todisteet, eikä irrallisena työkalujen ja palveluntarjoajien kokoelmana. Käytännössä tämä tarkoittaa kykyä osoittaa, miten pilvipalvelut valitaan, hallitaan ja poistetaan käytöstä tietoturvavaatimustesi mukaisesti.

Vuoden 2025 tietoturvallisuuden tilaa koskevassa raportissa todetaan, että asiakkaat odottavat yleisimmin toimittajilta virallisten viitekehysten, kuten ISO 27001:n, ISO 27701:n, GDPR:n, Cyber Essentialsin, SOC 2:n ja uusien tekoälystandardien, noudattamista.

Vuoden 2022 painoksessa A.5.23 todetaan, että pilvipalveluiden hankintaa, käyttöä, hallintaa ja poistumista varten tulee luoda ja ottaa käyttöön prosesseja tietoturvavaatimusten mukaisesti. Tämä muotoilu on yhdenmukainen standardin ISO 27001:2022 A.5.23 julkaistun ohjaustekstin ja sitä tukevien pilviohjeiden, kuten ISO 27017 ja ISO 27018, kanssa, jotka kaikki korostavat pilvipalveluiden kokonaisvaltaista hallintaa kertaluonteisten toimittajien tarkastusten sijaan. Keskitetty tietoturvallisuuden hallintajärjestelmäalusta, kuten ISMS.online, voi tehdä tästä työstä hallittavaa pitämällä käytännöt, riskit, vastuut ja tiedot yhdessä paikassa.

Tilintarkastajat etsivät tyypillisesti selkeää linjaa kyseisestä kontrollitekstistä varsinaisiin käytäntöihin, menettelytapoihin ja asiakirjoihin. Jos pystyt selittämään omin sanoin, mitä A.5.23 tarkoittaa yrityksellesi, olet jo edellä monia hallinnoituja palveluntarjoajia, jotka luottavat pelkästään muodolliseen sanamuotoon.

Yhdestä lauseesta käytännön tavoitteisiin

A.5.23:n muuttaminen käytännön tavoitteiksi tarkoittaa muodollisen sanamuodon jakamista pieneksi joukoksi konkreettisia, testattavia odotuksia, joiden ympärille voit suunnitella kontrolleja ja näyttöä. Nämä tavoitteet antavat sinulle kehyksen kontrollin selittämiseen tiimillesi ja tilintarkastajille. Pilvipalveluihin keskittyneiden ISO 27001 -käytännön harjoittajien tulkinnat ryhmittelevät yleensä A.5.23:n vaatimukset teemoihin, kuten pilvipolitiikka, riski ja vaatimukset, jaettu vastuu, elinkaari ja näyttö, mikä on tässä heijastuva lähestymistapa.

Käytännössä A.5.23 edellyttää, että teet viisi asiaa johdonmukaisesti ja pystyt todistamaan ne. Hyödyllinen tapa tulkita kontrollia on jakaa se viiteen käytännön tavoitteeseen:

Pilvikäytäntö ja sen soveltamisala – määrittele, mitä ”pilvi” tarkoittaa organisaatiollesi, mitkä palvelut ja data kuuluvat sen piiriin ja kuka voi ottaa käyttöön uusia palveluita.
Riski ja vaatimukset – tunnistaa pilvipalveluihin liittyvät riskit, kuten monivuokralaiset, datan sijainti ja yhdistettävyys, ja asettaa tietoturvaa ja yksityisyyttä koskevat vähimmäisvaatimukset.
Jaettu vastuu – dokumentoi, kuka on vastuussa keskeisistä kontrolleista palveluntarjoajan, hallinnoidun palveluntarjoajan ja asiakkaan välillä kullakin merkittävällä alustalla ja palvelulla.
Elinkaaren hallinta – integroi turvallisuus pilvipalveluiden valintaan, käyttöönottoon, muutoksiin, valvontaan ja lopettamiseen, ei vain sopimuksiin.
Todisteet ja parannukset – pidä kirjaa siitä, että nämä prosessit toimivat, ja tarkista niitä alustojen, asiakkaiden ja määräysten muuttuessa.

Yhdessä nämä tavoitteet muuttavat A.5.23:n yhdestä lauseesta joukoksi tapoja. Ne antavat sinulle myös rakenteen, jolla voit yhdistää kontrollin sovellettavuuslausuntoon ja laajempaan tietoturvan hallintajärjestelmään (ISMS). Tavoitteiden, omistajien ja sitä tukevan näytön tallentaminen järjestelmään, kuten ISMS.online, auttaa sinua pitämään ne johdonmukaisina palveluiden ja standardien kehittyessä.

Miten A.5.23 laajentaa vanhempaa toimittajamallia

A.5.23 laajentaa vanhempaa toimittajamallia tunnustamalla, että pilvi on tekninen perusta, ei vain yksi ulkoistussopimus lisää. Kun palvelusi ovat riippuvaisia jaetuista alustoista, kokoonpano-, käyttöoikeus- ja toimintavalintasi vaikuttavat voimakkaasti tietoturvatuloksiin, vaikka taustalla oleva infrastruktuuri kuuluisikin jollekin toiselle.

Verrattuna yleisiin toimittajien kontrolleihin esimerkiksi toimittajien hallinnassa ja toiminnan turvallisuudessa, A.5.23:

Painottaa pilvipalvelun elinkaarta, ei pelkästään toimittajan valintaa.
Odottaa jaetun vastuun ja monivuokralaisten oikeuksien nimenomaista huomioon ottamista.
Keskittyy siihen, miten poistut pilvipalveluista tai korvaat ne menettämättä datan hallintaa.

Nämä painotukset heijastuvat asiantuntijoiden A.5.23-kommenteissa ja pilvipalveluiden hallintakartoituksissa, jotka korostavat elinkaarta, jaettua vastuuta ja poistumissuunnittelua erillään perinteisestä toimittajavalvonnasta. Hallittujen toimittajien osalta A.5.23 liittyy myös käyttöoikeuksien hallintaan, resurssien hallintaan, tapahtumien hallintaan ja muihin liitteen A mukaisiin valvontatoimiin. Tavoitteena ei ole päällekkäistä työtä, vaan varmistaa, että olemassa olevat valvontatoimet ottavat täysin huomioon pilvipalvelut ja palvelujen toimitustavat.

Tämän hallinnan selkeä linkittäminen tietoturvanhallintajärjestelmääsi auttaa tilintarkastajia näkemään, että pilvipalveluiden hallinta on integroitua eikä sitä käsitellä erillisenä osana järjestelmää.

Asiakirjatyypit, joita tilintarkastajat odottavat näkevänsä

Auditoijat odottavat näkevänsä A.5.23-kohdassa dokumenttityyppejä, jotka todistavat pilvikäytäntöjesi, -prosessiesi ja -vastujesi olevan todellisia, johdonmukaisia ja sovellettuja. He etsivät pientä, yhtenäistä joukkoa artefakteja pikemminkin kuin suurta määrää löyhästi toisiinsa liittyviä dokumentteja. Pilvihallinnon toteutusoppaissa A.5.23-kohdassa mainitaan usein käytäntöjen, palvelurekisterien, riskinarviointien ja elinkaaritietojen yhdistelmä tilintarkastajien odottamana keskeisenä todistusaineistona.

Tarkastuksen aikana sinulta todennäköisesti pyydetään todisteita, kuten:

Pilvipalvelun käyttö- tai pilvipalvelun tietoturvakäytäntö.
Sisäisesti ja asiakkaiden puolesta käytettyjen pilvipalveluiden rekisteri.
Pilvikohtaiset riskinarvioinnit ja hoitosuunnitelmat.
Keskeisten pilvipalveluntarjoajien ja alihankkijoiden due diligence -raportit.
Jaetun vastuun matriisit tai vastaavat roolimääritelmät.
Palveluiden käyttöönottoon ja niistä poistumiseen liittyvät menettelytavat tai käsikirjat.
Näytteitä lokeista, arvosteluista tai tiketistä, jotka osoittavat näiden prosessien toiminnan.

Jos nämä löytyvät nopeasti ja ne kertovat johdonmukaisen tarinan, A.5.23 tuntuu kontrolloidulta ja oikeasuhtaiselta. Jos niitä esiintyy vain hajallaan olevissa dokumenteissa tai ihmisten päissä, kontrollista tulee löydösten ja lisätyön lähde. Näiden artefaktien säilyttäminen yhdessä paikassa tietoturvallisuuden hallintajärjestelmässä (ISMS.online) helpottaa huomattavasti pilvipalvelun käytännön hallinnan havainnollistamista.

ISMS.online antaa sinulle 81 %:n etumatkan heti sisäänkirjautumisestasi lähtien.

ISO 27001 helposti

Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.

Aloita

MSP:n kaksoiselämä: pilviasiakas ja -toimittaja

MSP:lläsi on kaksoiselämä A.5.23:n mukaan: olet sekä vaativa pilvipalveluntarjoajien asiakas että vastuullinen pilvipalveluntarjoaja omille asiakkaillesi. Vastuullinen taho odottaa sinun ymmärtävän, dokumentoivan ja hallinnoivan molempia rooleja, mukaan lukien sen, miten ne ovat vuorovaikutuksessa jaetun vastuun ketjussa.

Pilviasiakkaana luotat hyperskaalautuihin alustoihin ja SaaS-työkaluihin oman liiketoimintasi pyörittämisessä ja palveluiden toimittamisessa. Pilvipalveluntarjoajana asiakkaasi näkevät sinut vastuullisena osapuolena tietoturvasta, jatkuvuudesta ja tuesta, vaikka taustalla oleva teknologia kuuluisi jollekin toiselle. A.5.23 yhdistää nämä kaksi näkökulmaa ja pyytää sinua hallitsemaan niitä johdonmukaisesti.

Ymmärrät omat roolisi ylä- ja alavirtaan

Ymmärtämällä omat roolisi sekä ylä- että alavirran markkinoilla, tunnistat, että kulutat pilvipalveluita sisäisenä asiakkaana ja myyt samalla pilvipohjaisia palveluita palveluntarjoajana omille asiakkaillesi. A.5.23 edellyttää, että pidät molemmat näkökulmat mielessäsi ja varmistat, että ne tukevat toisiaan eivätkä ole ristiriidassa keskenään.

Kuten pilviasiakas, käytät palveluita, kuten tuottavuuspaketteja, tiketöintiä, valvonta-alustoja ja julkista pilvi-infrastruktuuria. Olet vastuussa siitä, miten nämä palvelut konfiguroidaan, kenellä on käyttöoikeudet ja miten niitä valvotaan. Kun häiriöitä ilmenee tai sääntelyviranomaiset esittävät kysymyksiä, kykysi osoittaa hallintaa riippuu siitä, kuinka hyvin hallitset tätä kulutusta ja kuinka selkeästi se on linkitetty tietoturvanhallintaprosesseihisi, kuten riskienarviointiin ja muutoshallintaan.

Kuten pilvipalveluntarjoaja tai -hallinta, suunnittelet, toimitat ja tuet näillä alustoilla toimivia palveluita. Saatat myydä hallittua infrastruktuuria, varmuuskopiointia, SOC:ta, sovellushostingia tai tietoturvapalveluita. Asiakkaasi näkevät sinut vastuullisena osapuolena, vaikka rakentaisit kolmannen osapuolen pilveen. He eivät tee eroa palvelusi ja sen käyttämän hyperskaalaajan välillä; he olettavat, että olet huolehtinut yksityiskohdista.

Yleinen ristiriita ilmenee, kun annat asiakkaille sitoumuksia lokien säilytyksestä tai varmuuskopiointihistoriasta, mutta ylävirran työkalu toimii edelleen oletusasetuksellaan, joka on paljon lyhyempi. Tässä tapauksessa alavirran sitoumuksesi on ylittänyt ylävirran kokoonpanosi, ja A.5.23 paljastaa tämän aukon.

Kaksoisroolivastuunäkemyksen rakentaminen

Kaksoisroolivastuunäkemykseen kuuluu vastuiden kartoittaminen palveluntarjoajien, MSP-tiimien ja asiakkaiden välillä yhdessä yhtenäisessä mallissa. Tämä antaa tietoturvajohtajallesi, palvelutoimituspäälliköllesi ja asiakkuuspäälliköillesi yhteisen kuvan siitä, kuka omistaa mitäkin koko ketjussa.

Käytännöllinen tapa tehdä tämä on luoda kaksoisroolien vastuumatriisi. Keskeisillä valvonta-alueilla – identiteetin ja pääsynhallinta, konfigurointi, lokin loki, varmuuskopiointi, tapauksiin reagointi, muutoshallinta, tietosuoja – luettelet seuraavat asiat:

Mihin toimitusketjun alkupään tarjoajasi sitoutuvat.
Mihin sinä MSP:nä sitoudut alkuvaiheessa (esimerkiksi tiettyjen ominaisuuksien käyttöönotto, tiettyjen riskien hallinta).
Mihin sitoudut asiakassopimuksissasi ja palvelutasosopimuksissasi loppupäässä.
Mitä odotat asiakkaiden tekevän itse.

Tämä harjoitus paljastaa usein ristiriitoja: asiakkaita kohtaan tehtyjä velvoitteita, joilla ei ole ylätason tukea, tai palveluntarjoajia koskevia oletuksia, joita heidän sopimuksensa eivät tue. Se selventää myös, missä tarvitaan vahvempia kontrolleja, selkeämpää sanamuotoa tai erilaisia palvelumalleja. Kun rakennat tämän näkökulman ISMS-alustaan, kuten ISMS.onlineen, annat tiimeille yhden totuuden lähteen jaetuista vastuista.

Vastuullisuuskarttojen soveltaminen arkikäytäntöön

Vastuullisuuskarttojen soveltaminen päivittäiseen käytäntöön tarkoittaa sitä, että jokainen pilvipalveluihin tekemisissä oleva ymmärtää heitä koskevat osat ja pystyy toimimaan niiden mukaisesti nopeasti. Karttojen tulisi muokata käyttäytymistä myynnissä, suunnittelussa, tuessa ja asiakkuuksien hallinnassa.

Vastuullisuuskarttojen toteuttaminen tarkoittaa:

Käyttämällä heitä myynti- ja asiakkuustiimien perehdyttämiseen, jotta he eivät lupaa liikaa tai improvisoi sitoumuksia.
Yhdenmukaistamalla runbookit ja playbookit määrittelemiesi vastuiden kanssa, jotta tekniset tiimit toimivat johdonmukaisesti.
Insinöörien kouluttaminen siitä, miten ja milloin he voivat käyttää oikeuksiaan asiakkaiden vuokralaisissa, mukaan lukien aikarajoitetut käyttöoikeuksien korotukset ja hyväksynnät.
Sovitaan, miten palveluntarjoajiin liittyvät tapaukset viestitään ja käsitellään asiakkaiden kanssa, mukaan lukien eskalointikeinot.

Kun kaksoisroolinäkemyksesi on juurrutettu tällä tavalla, A.5.23 lakkaa olemasta abstrakti vaatimus ja siitä tulee luonnollinen linssi siihen, miten MSP:si toimii pilvessä. Se antaa myös selkeän narratiivin hallituksille ja asiakkaille, jotka haluavat ymmärtää paikkasi jaetussa vastuuketjussa.

Käytännönläheinen jaetun vastuun malli MSP-pilvialustoille

Käytännöllinen jaetun vastuun malli MSP-pilvialustoille on joukko selkeitä matriiseja, jotka osoittavat, kuka tekee mitä palveluntarjoajan, MSP:n ja asiakkaan välillä kunkin palvelun osalta. A.5.23:n mukaisesti nämä matriisit muuttavat jaetun vastuun ajatuksen joksikin, jota voit käyttää, opettaa ja auditoida.

Useimmat julkisen pilvipalveluntarjoajat kuvaavat yksinkertaista jakoa: he suojaavat infrastruktuurin; sinä suojaat sen, minkä sen päälle rakennat. Tämä kaava on dokumentoitu jaetun vastuun mallien selityksissä suurilta tarjoajilta, kuten AWS, Azure ja Google Cloud, ja siitä on tullut yleinen lähtökohta pilvihallinnan suunnittelulle. Hallittujen palveluntarjoajien kannalta tämä on vasta lähtökohta. Tarvitset malleja, jotka heijastavat käyttämiäsi alustoja, tarjoamiasi palveluita ja tiimiesi todellista toimintatapaa.

Yleisen ”yhteisvastuun” tuolle puolen

Yleisten "yhteisvastuu"-nimikkeiden ylittäminen tarkoittaa epämääräisten lauseiden korvaamista erityisillä, nimetyillä tehtävillä, jotka yksilöt ja tiimit ymmärtävät. A.5.23 palkitsee tämän selkeyden, koska tilintarkastajat ja asiakkaat näkevät, kuka on vastuussa todellisista toimista, ei vain abstrakteista käsitteistä.

Yleiset "yhteisvastuu"-leimat kätkevät alleen todellisia riskejä. Päästäksesi niistä yli sinun on otettava huomioon:

Käyttämäsi alustat (esimerkiksi infrastruktuuri palveluna, ohjelmisto palveluna, hallitut tietoturvatyökalut).
Tarjoamasi palvelut (esimerkiksi hallittu varmuuskopiointi, hallittu SOC, hallittu moderni työpaikka).
Tiimisi todellinen toimintatapa (esimerkiksi automaation käyttö, keskitetty valvonta, huoltoikkunat).

Jokaiselle alustan ja palvelun yhdistelmälle vastuumatriisin tulisi määritellä vastuut riittävän yksityiskohtaisesti, jotta ihmiset voivat toimia. Tämä tarkoittaa, että on nimettävä kuka mahdollistaa lokien kirjaamisen, kuka testaa palautuksia, kuka käsittelee rekisteröityjen käyttöoikeuspyyntöjä ja kuka johtaa tietoturvaloukkauksiin liittyvää viestintää sen sijaan, että yksinkertaisesti mainittaisiin "jaettu".

Tämän lisäaskeleen ottaminen tukee myös asiaankuuluvia kontrolleja, kuten tapausten hallintaa ja toiminnan turvallisuutta, koska kaikki näkevät, missä heidän roolinsa alkaa ja päättyy.

Vastuumatriisien jäsentäminen

Vastuumatriisien hyvä jäsentäminen tarkoittaa johdonmukaisen asettelun käyttöä, joka heijastaa insinööriesi ja palvelupäälliköiden ajattelutapaa, mutta on silti riittävän yksityiskohtainen ohjaamaan toimintaa. Yksinkertainen rakenne, jota toistetaan eri palveluissa, helpottaa koulutusta ja arviointia huomattavasti.

Käytännön matriisi kullekin palvelulle voisi kattaa esimerkiksi seuraavat osa-alueet:

Henkilöllisyyden ja pääsyn hallinta: – kuka luo ja peruu tilejä, hallinnoi rooleja ja tarkistaa käyttöoikeudet.
Kokoonpano ja kovettaminen: – kuka soveltaa perusvaatimuksia, käsittelee tietoturvapäivitykset ja tarkastelee konfiguraatiopoikkeamia.
Kirjaus ja valvonta: – kuka ottaa lokit käyttöön, tallentaa ne, tarkistaa hälytykset ja reagoi tapauksiin.
Varmuuskopiointi ja palautus: – kuka konfiguroi varmuuskopiot, testaa palautukset ja varmistaa palautustavoitteet.
Tietosuoja ja yksityisyys: – kuka luokittelee tiedot, soveltaa säilytyssääntöjä ja hallinnoi rekisteröidyn oikeuksia.
Jatkuvuus ja poistuminen: – kuka on vastuussa vikasietoisuudesta, vikasietoisuudesta ja tietojen viennistä tai poistamisesta sopimuksen päättyessä.

Jokaisella rivillä matriisissa tulee merkitä vastuut selkeästi: toimittaja, MSP, asiakas tai jaettu tiettyjen tehtävien kanssa. Sinun tulee myös varmistaa, että jokainen matriisi on versiohallittu ja tarkistetaan palveluiden, alustojen tai sopimusten muuttuessa, jotta se pysyy ajan tasalla.

Yksinkertaistettu esimerkki hallitusta varmuuskopioinnista julkisella pilvialustalla voisi näyttää tältä:

Domain	Palveluntarjoajan / MSP:n / asiakkaan vastuut
Varmuuskopiointiasetukset	Palveluntarjoaja tarjoaa ominaisuutta; MSP määrittää käytäntöjä; asiakasarvostelujen laajuus
Palautustestaus	MSP suorittaa säännöllisiä testipalautuksia; asiakas varmistaa tietojen täydellisyyden
Säilytysasetukset	Palveluntarjoaja valvoo rajoituksia; MSP asettaa säilytyskäytännön; asiakas hyväksyy käytännön

Voit sitten käyttää näitä matriiseja uudelleen asiakkaille, jotka käyttävät samaa palvelumallia, ja muokata niitä vain todella tarpeellisissa tapauksissa.

Mallin linkittäminen tietoturvanhallintajärjestelmääsi ja asiakkaisiisi

Jaetun vastuun mallin linkittäminen tietoturvanhallintajärjestelmään ja asiakkaisiin varmistaa, että se vaikuttaa päätöksentekoon myyntiä edeltävästä vaiheesta aina myyntiprosessin loppuun saattamiseksi sen sijaan, että se olisi eristyksissä. Mitä paremmin yhdistät sen, sitä hyödyllisemmäksi ja uskottavammaksi siitä tulee.

Kun olet määritellyt nämä mallit, yhdistä ne:

Sisäisesti viittaamalla niihin käytännöissä, menettelyissä, runbookeissa ja koulutuksessa.
Kaupallisesti yhdenmukaistamalla palvelukuvauksesi, ehdotuksesi ja palvelutasosopimuksesi asettamiesi vastuiden kanssa.
Jakamalla asiakkaiden kanssa yksinkertaistettuja näkymiä tai kaavioita perehdytyksen aikana, jotta odotukset ovat selkeitä ensimmäisestä päivästä lähtien.

Kun tilintarkastaja kysyy, miten hallitset jaettua vastuuta kohdan A.5.23 mukaisesti, voit viitata näihin matriiseihin, niiden linkkeihin tietoturvanhallintajärjestelmääsi ja esimerkkeihin siitä, miten ne ovat ohjanneet todellisia päätöksiä. Kun asiakas, kuten tietoturvajohtaja tai IT-päällikkö, kysyy "kuka omistaa tämän kontrollin?", sinulla on vastaus, joka on yhdenmukainen koko yrityksessä. Keskitetty alusta, kuten ISMS.online, voi tallentaa nämä matriisit riskien, kontrollien ja sopimusten rinnalle, jotta niitä on helppo ylläpitää ja todennella.

Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.

Varaa esittelysi

Pilvipalvelun elinkaariprosessien suunnittelu A.5.23:lle

Pilvipalvelun elinkaariprosessien avulla osoitat, että A.5.23 on enemmän kuin pelkkä käytäntölausunto: ne osoittavat, että valitset, suoritat ja poistat käytöstä pilvipalvelut hallitusti ja toistettavasti. Hallitun palveluntarjoajan tavoitteena on sisällyttää pilvipalvelun elinkaarivaiheet olemassa oleviin tietoturvan hallintaprosesseihin, ei luoda erillistä byrokratiaa.

A.5.23 edellyttää sinun osoittavan, että pilvipalvelut noudattavat määriteltyjä vaiheita ideasta poistumiseen, ottaen huomioon turvallisuuden ja jaetun vastuun jokaisessa vaiheessa. Tämä on läheisessä linjassa valvonnan oman kielen kanssa pilvipalveluiden "hankinnasta, käytöstä, hallinnasta ja poistumisesta" tietoturvavaatimusten mukaisesti sekä ISO 27001 -standardissa ja pilvistandardien ohjeissa, kuten ISO 27001 A.5.23 -kommentaarissa, käytettyjen yleisten elinkaarimallien kanssa. Tämä on luonnollisesti linjassa ISO 27001 -standardin riskienhallintaa, toiminnan suunnittelua, muutoshallintaa ja toimittajien hallintaa koskevien lausekkeiden kanssa.

Pilvipalvelun elinkaaren määrittely, jota ihmiset voivat seurata

Pilvipalvelun elinkaaren määrittäminen, jota ihmiset voivat seurata, tarkoittaa A.5.23:n muuttamista pieneksi joukoksi toistettavia vaiheita, jotka sopivat olemassa oleviin työskentelytapoihin. Elinkaaren tulisi olla riittävän yksinkertainen, jotta tuoteomistajat, insinöörit ja hankintatiimit voivat soveltaa sitä ilman erikoisosaamista. Kaksi kolmasosaa organisaatioista vuonna 2025 tehdyssä ISMS.online State of Information Security -tutkimuksessa sanoi, että sääntelymuutosten nopeus ja määrä vaikeuttavat vaatimustenmukaisuuden ylläpitämistä.

Merkittävien pilvipalveluiden tyypillinen elinkaari voi sisältää vaiheita, kuten:

Idea ja arviointi – joku ehdottaa uutta pilvipalvelua tai uutta tapaa käyttää olemassa olevaa palvelua. Sinä seulot sen liiketoimintahyödyn, turvallisuuden ja vaatimustenmukaisuuden kannalta.
Valinta ja due diligence – tarkistat sertifikaatit, tietojen sijainnit, sopimusehdot ja tukiominaisuudet sekä vertailet vaihtoehtoja.
Suunnittelu ja perehdytys – sinä päätät, miten palvelu konfiguroidaan, integroidaan ja valvotaan, ja kuka sen omistaa.
Toiminta ja muutos – suoritat palvelua, tarkistat lokit ja mittarit, käsittelet muutokset ja häiriöt ja pidät kokoonpanon standardiesi mukaisena.
Tarkistaminen ja uusiminen – tarkistat säännöllisesti, vastaako palvelu edelleen tarpeita, ovatko riskit hyväksyttäviä ja onko parannuksia tarpeen.
Poistuminen tai korvaaminen – Jos sammutat tai korvaat palvelun, hoidat tietojen viennin, poistamisen ja asiakasviestinnän.

Nämä vaiheet tekevät pilvipalvelupäätöksistä toistettavia ad hoc -päätösten sijaan. Määrittele kullekin vaiheelle vähimmäistoimet, hyväksynnät ja tallenteet, joita odotat. Näihin voivat sisältyä riskinarvioinnit, due diligence -tarkistuslistat, konfiguraation lähtötasot, muutostietueet ja poistumisvahvistukset, jotka kaikki ovat linjassa keskitetyn tietoturvanhallintajärjestelmäsi kanssa.

Jotta tästä tulisi vieläkin helpommin käytettävää, voit ilmaista elinkaaren yksinkertaisena vaiheena, jota tiimit voivat seurata.

Vaihe 1: Tallenna ja seulo idea

Tallenna ja seulo jokainen pilvipalveluidea ennen kuin kukaan rekisteröityy tai integroi sen, jotta voit punnita arvoa, riskejä ja yhdenmukaisuutta tietoturvanhallintajärjestelmäsi kanssa.

Kirjaa ehdotettu pilvipalvelu, sen tarkoitus ja alustavat riskit ylös ennen kuin kukaan rekisteröityy tai integroi sen.

Vaihe 2: Suorita due diligence ja suunnittelu

Tee due diligence -tarkastus ja suunnittelu ennen pilvipalvelun käyttöönottoa, jotta konfigurointi, valvonta ja vastuut määritellään improvisoinnin sijaan.

Tarkista varmuus, sopimukset ja tiedonkäsittely ja määritä sitten kokoonpano, valvonta ja jaetut vastuut.

Vaihe 3: Alukseen ottaminen, toiminta ja poistumisen suunnittelu

Ota palvelu käyttöön, käytä sitä ja suunnittele poistuminen jäsennellysti, jotta voit todistaa, miten sitä hallitaan koko sen elinkaaren ajan.

Ota palvelu käyttöön lähtötasojen mukaisesti, seuraa sitä ja kirjaa muistiin, miten aiot poistua siitä tai korvata sen turvallisesti.

Elinkaarikontrollien upottaminen työskentelytapoihin

Elinkaarikontrollien upottaminen työskentelytapoihin tarkoittaa niiden integrointia tiimiesi jo käyttämiin prosesseihin ja työkaluihin. Kun elinkaari on oletuspolku, A.5.23:n noudattaminen on paljon helpompaa.

Mieti:

Yhdenmukaistamalla se hankintaprosessien kanssa, jotta sopimuksia ei voida allekirjoittaa ennen kuin turvallisuus-, yksityisyys- ja toimintavaatimukset on tarkistettu.
Linkittämällä sen palvelusi käyttöönottoprosessiin, jotta uudet tarjoukset tai suuret muutokset käyvät läpi pilvipalvelun elinkaaren vaiheet.
Elinkaaritehtävien integrointi tiketöinti- ja muutosjärjestelmiin, ei vain erillisiin pilvidokumentteihin.

Yhdistämällä elinkaaren vaiheet vakiintuneisiin prosesseihin, kuten muutoshallintaan ja toimittajien hallintaan, vähennät kitkaa ja parannat käyttöönottoa. Ihmiset seuraavat elinkaarta, koska se on vähiten vastusta tarjoava tie, eivät siksi, että heitä on käsketty lukemaan toinen käytäntö.

Elinkaaritodisteiden auditointivalmius

Elinkaariaineiston auditointivalmius tarkoittaa, että on kyettävä esittämään muutamia kokonaisia esimerkkejä, jotka havainnollistavat samaa logiikkaa sovellettuna eri palveluihin. Auditoijat haluavat nähdä malleja, eivät yksittäisiä onnistumisia.

Pyri osoittamaan jokaisessa esimerkissä:

Palvelun valinnan syy riskin ja vaatimusten perusteella.
Miten vastuut määriteltiin jaetun vastuun mallia käyttäen.
Mitä hallintalaitteita otettiin käyttöön käyttöönoton yhteydessä, mukaan lukien lähtötasot ja käyttöoikeusmallit.
Palvelun seuranta ja arviointi, esimerkkeinä muutoksista tai parannuksista.
Miten tietoja ja käyttöoikeuksia käsitellään poistuttaessa, vaikka poistumista ei olisi vielä tapahtunut.

Jos pystyt esittämään nämä todisteet ilman suurempaa vaivaa, A.5.23 tuntuu sisäänrakennetulta eikä kiinteältä. ISMS.onlinen kaltainen järjestelmä voi auttaa linkittämällä palvelut, riskit, vastuut, muutokset ja poistumistietueet yhteen paikkaan, joten sinun ei tarvitse koota kuvaa tyhjästä joka kerta, kun joku kysyy.

Usean vuokralaisen tekniset suojatoimet: Yhdenmukaisten suojatoimien toteuttaminen

Usean asiakkaan tekniset hallintajärjestelmät ovat A.5.23-pilvipalveluiden hallintapäätösten käytännön ilmentymä jokapäiväisessä suunnittelutyössä. Ne muuttavat jaetun vastuun mallit ja elinkaariprosessit konkreettisiksi lähtökohdiksi, jotka suojaavat useita asiakkaita samanaikaisesti.

Kun hallinnoit useita vuokralaisia yhteisillä alustoilla, A.5.23 edellyttää sinulta ennakoivaa ja standardoitua lähestymistapaa identiteettiin, konfigurointiin, lokiin kirjaamiseen, varmuuskopiointiin ja eristämiseen. Tällä tavoin voit osoittaa, että tekniset suojaustoimenpiteesi vastaavat ottamiasi vastuita ja asiakkaille antamiasi sitoumuksia.

Miksi usean vuokralaisen perustason on oltava tärkeä

Usean vuokralaisen lähtötasot ovat tärkeitä, koska pienillä heikkouksilla voi olla suuria seurauksia useille asiakkaille samanaikaisesti. Yksikin liian salliva rooli, tekemättä jäänyt päivitys tai testaamaton varmuuskopiointi voi heikentää pilvipalvelusi yleistä varmuustasoa. Pilvipalveluiden tietoturvakehykset ja kansalliset ohjeet, kuten usean vuokralaisen riskien käsittely valvontaluetteloissa ja kansallisten kyberturvallisuuskeskusten pilvipalveluiden tietoturvakokoelmat, korostavat johdonmukaisesti identiteetin hallintaa, korjauspäivityksiä ja varmuuskopiointia systeemisinä riskialueina, jotka voivat nopeasti levitä vuokralaisten kesken, jos ne vikaantuvat. Suurin osa vuoden 2025 ISMS.online-kyselyyn osallistuneista organisaatioista ilmoitti, että niihin on vaikuttanut ainakin yksi kolmannen osapuolen tai toimittajan aiheuttama tietoturvahäiriö viimeisen vuoden aikana.

MSP-ympäristössä yksi ylioikeutettu järjestelmänvalvojan tili, kirjaamaton kriittinen toiminto tai testaamaton varmuuskopiointiprosessi voi vaikuttaa kymmeniin asiakkaisiin yhdessä tapauksessa. A.5.23 edellyttää, että hallitset näitä riskejä systemaattisesti, etkä reaktiivisesti, ja pystyt osoittamaan, miten valvontasi koskevat kaikkia käyttämiäsi ja tarjoamiasi pilvipalveluita. Johdonmukaiset lähtötasot määrittelevät tiettyä alustaa tai palvelua käyttävien asiakkaiden vähimmäisvalvonnat ja antavat tarkastajille ja asiakkaille varmuuden siitä, ettet keksi tietoturvaa uudelleen joka kerta.

Johtamisen näkökulmasta nämä lähtökohdat tarjoavat myös varmuuskerroksen: voit osoittaa hallituksille ja asiakkaille, että tekniset suojatoimet ovat linjassa jo tekemiesi hallinto- ja sopimuspäätösten kanssa.

Standardoitavat keskeiset tekniset teemat

Standardoitavat keskeiset tekniset teemat ovat osa-alueita, joilla johdonmukaiset suojatoimet vähentävät eri alustojen välisten ongelmien todennäköisyyttä ja antavat insinööreille selkeän lähtökohdan jokaisella alustalla.

Vaikka yksityiskohdat vaihtelevat alustasta riippuen, useimmat MSP:t hyötyvät ainakin seuraavien teemojen standardoinnista. Tämä helpottaa turvallisuuspäällikön, operatiivisen johtajan ja suunnittelutiimien yhteisymmärrystä.

Henkilöllisyyden ja pääsyn hallinta: – roolipohjainen käyttöoikeus, vähiten oikeuksia, tehtävien erottelu, aikasidonnainen käyttöoikeuksien korottaminen korkean riskin toimille ja vankka käyttöoikeuksien poisto.
Kokoonpano ja kovettaminen: – perusmallit verkon segmentoinnille, salaukselle, päätepisteiden suojaukselle, korjauskäytännöille ja resurssien nimeämiselle.
Kirjaus ja valvonta: – johdonmukaiset lokimääritykset, keskitetty lokien yhdistäminen, määritellyt hälytyssäännöt ja dokumentoidut vastekäsikirjat.
Varmuuskopiointi ja palautus: – vakiomuotoiset varmuuskopiointiaikataulut, säilytys, salaus, palautustestausrutiinit ja asiakkaan palautustavoitteiden dokumentointi.
Eristäytyminen ja vuokrasuhteet: – mallit vuokralaisten erottamiseksi verkossa, identiteetti- ja datakerroksissa sekä tarkistukset eristämisen pidon varmistamiseksi.

Kunkin lähtötason tulisi selkeästi ilmaista, mitä palveluntarjoaja toimittaa, mitä konfiguroit ja ylläpidät ja mitä odotat asiakkaiden tekevän. Yhdessä näistä teemoista tulee A.5.23-toteutuksesi tekninen selkäranka.

Kun olet määritellyt nämä teemat, seuraava vaihe on upottaa ne insinöörien työympäristöihin: mallipohjiin, skripteihin, koodina käytettävään infrastruktuuriin, keskitettyihin hallintatyökaluihin ja dokumentoituihin käsikirjoihin.

Teknisten kontrollien yhdistäminen A.5.23:een ja sen jälkeisiin kohtiin

Teknisten kontrollien yhdistäminen A.5.23:een ja siihen liittyviin kontrolleihin varmistaa, että hallintotapasi, lakisääteiset sitoumuksesi ja tekniset käytäntösi tukevat toisiaan eivätkä ole erillisiä. Tämä yhdenmukaisuus helpottaa koko järjestelmän selittämistä ja puolustamista.

Se tarkoittaa:

Kunkin perustason elementin yhdistäminen jaettuihin vastuumatriiseihin, jotta tekniset kontrollit vastaavat määrittämiäsi vastuita.
Varmista, että lähtötasot ovat osa pilvipalvelusi elinkaarta, jotta niitä sovelletaan käyttöönoton yhteydessä ja niitä tarkastellaan uudelleen arviointien aikana.
Yhdistämällä teemoja, kuten käyttöoikeudet, lokinnoitus ja varmuuskopiointi, liitteen A mukaisiin käyttöoikeuksien hallintaa, toiminnan turvallisuutta, tapausten hallintaa ja liiketoiminnan jatkuvuutta koskeviin kontrolleihin.

Tämä yhdenmukaisuus tekee kokonaisvaltaisesta valvontajärjestelmästäsi johdonmukaisen. Se tarkoittaa myös sitä, että kun A.5.23:a käsitellään auditoinneissa tai asiakasarvioinneissa, olet valmis osoittamaan paitsi käytäntöjä, myös toimivia teknisiä suojatoimia, jotka vastaavat hallintotasoasi. Jos hallitset näitä perustason järjestelmiä keskitetyssä järjestelmässä, kuten ISMS.online, voit osoittaa yhteyden pilvipalvelusta sen riskinarviointiin ja teknisiin valvontamekanismeihin muutamalla napsautuksella.

ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.

Varaa esittelysi

Sopimukset, palvelutasosopimukset ja alihankkijoita koskevat lausekkeet, jotka pätevät tilintarkastuksessa

Sopimukset, palvelutasosopimukset ja alihankkijoita koskevat lausekkeet ovat se kohta, jossa pilvipalvelunhallintapäätöksistäsi (A.5.23) tulee oikeudellisesti sitovia lupauksia. Kontrollinhaltija odottaa, että sopimuksesi palveluntarjoajien, alihankkijoiden ja asiakkaiden kanssa heijastavat jaettua vastuuta, elinkaarta ja tekemiäsi teknisiä valintoja eivätkä ole ristiriidassa niiden kanssa.

A.5.23 ei vaadi sinua kirjoittamaan sopimuksia tietyllä tavalla, mutta tilintarkastajat ja asiakkaat testaavat, vastaavatko lakisääteiset sitoumuksesi ja tekninen todellisuutesi toisiaan. A.5.23:a ja siihen liittyviä pilvipalveluita koskevissa periaatepohjaisissa ohjeissa korostetaan rutiininomaisesti sopimuslupausten yhdenmukaistamisen tärkeyttä todellisten kontrollien ja jaetun vastuun mallien kanssa, koska ristiriidat ovat monien tilintarkastustulosten ja kiistojen syy.

A.5.23 ei edellytä sopimusten laatimista tietyllä tavalla, mutta tilintarkastajat ja asiakkaat testaavat, vastaavatko lakisääteiset sitoumuksesi ja tekninen todellisuutesi toisiaan. Jos näin ei ole, kontrollista tulee riskien ja havaintojen lähde.

Vastuiden ja odotusten selkeä ilmaiseminen sopimuksissa ja palvelutasosopimuksissa tarkoittaa sisäisten vastuumatriisien kääntämistä selkeään ja vakaaseen sanamuotoon, jonka laki-, myynti- ja asiakasosastot ymmärtävät kaikki. A.5.23-kohdan osoittaminen on paljon helpompaa, kun kyseiset asiakirjat vastaavat todellista toimintatapaasi.

Sopimukset ja palvelutasosopimukset ovat se paikka, jossa väärinkäsitykset johtavat kiistoihin, erityisesti pilvipalveluiden yhteydessä. A.5.23:n tukemiseksi sopimustesi tulisi:

Kuvaile palvelut selkeästi, mukaan lukien mahdollinen riippuvuus kolmansien osapuolten pilvialustoista.
Määrittele tietoturva- ja tietosuojavelvoitteet riittävän yksityiskohtaisesti, jotta ne ovat mielekkäitä, lupaamatta kuitenkaan sellaista, mitä et voi toteuttaa.
Selitä kuka on vastuussa mistäkin tapahtumien havaitsemisen, reagoinnin ja viestinnän osa-alueesta.
Selvennä, mitä sopimuksen päättyessä tapahtuu, mukaan lukien tietojen vienti tai poistaminen ja mahdollinen siirtymävaiheen tuki.

Jos mahdollista, yhdenmukaista tämä sanamuoto suoraan jaetun vastuun matriisien osa-alueiden kanssa, jotta mallin ja sanamuodon välillä on selkeä raja. Tämä auttaa myös täyttämään asiaankuuluvat ISO 27001 -standardin vaatimukset lakisääteisten, sääntelyyn liittyvien ja sopimusvelvoitteiden osalta.

Kun vastuut on määritelty yksiselitteisesti sekä matriiseissa että sopimuksissa, tiimeilläsi on vähemmän tilaa ristiriitaisille tulkinnoille, kun ilmenee ongelmia tai monimutkaisia asiakasvaatimuksia.

Teknisen todellisuuden yhdenmukaistaminen lakisääteisten sitoumusten kanssa

Teknisen todellisuuden ja lakisääteisten sitoumusten yhteensovittaminen tarkoittaa sen tarkistamista, että sopimuksissa lupaamasi asiat ovat saavutettavissa nykyisillä työkaluilla, prosesseilla ja lähtötasoilla. Se vähentää riskiä, että asiakkaat tai tilintarkastajat huomaavat sanojen ja käytännön välisiä eroja. Vain noin 29 % organisaatioista vuoden 2025 ISMS.online-kyselyssä ilmoitti, etteivät ne olleet saaneet sakkoja tietosuojan puutteista. Suurin osa ilmoitti sakoista ja jotkut saivat yli 250 000 punnan sakkoja.

Lakilausekkeiden on helppo etääntyä teknisestä todellisuudesta ajan myötä. Ehkä mallipohja lupaa erittäin nopean häiriöilmoituksen, mutta valvonta- ja eskalointiprosessisi tekevät siitä käytännössä vaikeaa. Tai palvelutasosopimus sitoutuu palautumistavoitteisiin, jotka eivät vastaa varmuuskopiosuunnitelmia.

Tämän välttämiseksi tarkista sopimukset ja palvelutasosopimukset yhdessä laki-, turvallisuus-, operatiivinen ja asiakkuuksien hallintaosastojen kanssa. Kysy:

Pystymmekö johdonmukaisesti täyttämään antamamme sitoumukset ottaen huomioon nykyisen valvontamme, tukipalvelumme aukioloajat ja tekniset lähtötasot?
Onko olemassa alueita, joilla meidän on investoitava parempiin valvontamenetelmiin tai työkaluihin niiden noudattamiseksi?
Onko olemassa velvoitteita, jotka sen sijaan pitäisi olla asiakkaalla tai palveluntarjoajalla ja jotka tulisi viestiä sellaisina?

Kun lakisääteiset sitoumuksesi ja tekniset kyvykkyytesi ovat linjassa, A.5.23:n noudattaminen on helpompaa ja riskialttiimpaa. Samalla vähennät yllätysten todennäköisyyttä asiakkaille, sääntelyviranomaisille tai tilintarkastajille, jotka perehtyvät lupaustesi yksityiskohtiin.

Hallinnon sisällyttäminen sopimuksiisi

Sopimuksiin sisällytetty hallinta tarkoittaa sopimuskielen käyttöä palveluntarjoajien ja asiakkaiden haluaman toiminnan vahvistamiseksi, ei pelkästään palveluiden ja hintojen dokumentoimiseksi. Se voi tehdä jaetusta vastuusta ja elinkaariajattelusta osan jokapäiväistä suhdetta.

Se voi sisältää:

Oikeus saada tai tarkastella palveluntarjoajan vakuutuksia, kuten päivitettyjä sertifikaatteja tai riippumattomia raportteja.
Yhteisiin hätätilanne- tai jatkuvuusharjoituksiin osallistumiseen liittyvät odotukset.
Velvollisuus ilmoittaa merkittävistä palvelu- tai sijaintimuutoksista.
Vaatimukset sovittujen poistumisprosessien noudattamisesta, mukaan lukien aikataulut ja yhteistyö.

Sisällyttämällä nämä sopimuksiisi varmistat, että hallinto ei ole vain sisäinen asia. Siitä tulee osa tapaa, jolla sinä, palveluntarjoajasi ja asiakkaasi työskentelette yhdessä palvelun elinkaaren aikana. Kun tilintarkastajat testaavat A.5.23:a, he voivat nähdä, että elinkaari ja jaettu vastuu heijastuvat johdonmukaisesti sopimuksiisi, eivätkä vain käytäntöihisi.

Varaa esittely ISMS.onlinesta jo tänään

Demon varaaminen ISMS.onlinen kautta on käytännöllinen tapa nähdä, kuinka MSP voi ottaa A.5.23-pilvipalvelun hallinnan hallintaansa lisäämättä tiimiesi monimutkaisuutta. Yhdessä paikassa näet, miten pilvipalvelut, riskit, vastuut, elinkaaren vaiheet ja todisteet liittyvät toisiinsa, joten olet valmis auditointeihin, asiakaskysymyksiin ja hallituksen arviointeihin.

Saat A.5.23-pilvipalvelun hallinnan hallintaasi, kun korvaat hajanaiset asiakirjat ja ad hoc -päätökset yhdellä yhtenäisellä järjestelmällä, joka yhdistää palvelut, riskit, vastuut, elinkaaren vaiheet ja todisteet. Monille hallinnoiduille palveluntarjoajille tarkoitukseen rakennetun tietoturvan hallintajärjestelmän (ISMS) käyttö voi olla käytännöllinen tapa saavuttaa konsolidointi ilman, että se lisää monimutkaisuutta.

ISMS.online auttaa sinua muuttamaan A.5.23-pilvipalveluiden hallintavastuut yhdeksi yhtenäiseksi järjestelmäksi, joka yhdistää pilvipalveluiden inventaariot, jaetun vastuun mallit, elinkaaren työnkulut, sopimukset ja todisteet. Sen sijaan, että jahtaisit dokumentteja eri asemien, konsolien ja postilaatikoiden välillä, voit nähdä, miten pilvipalveluita hallitaan ja miten vastuita hallitaan yhdessä paikassa.

Hallittujen palveluiden tarjoajille tämä tarkoittaa, että he voivat näyttää tilintarkastajille, hallituksille ja asiakkaille selkeämmän ja johdonmukaisemman narratiivin: mitä pilvipalveluita käytät, miten vastuut jaetaan, mitä kontrolleja on käytössä ja miten nämä järjestelyt muuttuvat ajan myötä. Hallinto-, riski- ja vaatimustenmukaisuustyökalujen (GRC) tarkkailijat huomauttavat usein, että keskitetyt alustat helpottavat tällaisen narratiivin kokoamista ja johdonmukaisena pitämistä, koska ne yhdistävät riskit, kontrollit ja todisteet yhteen ympäristöön. Sinä pidät päätökset hallinnassasi; alusta auttaa sinua todistamaan tämän hallinnan johdonmukaisesti, kun yrityksesi skaalautuu ja standardit kehittyvät.

Näe pilvikerroksesi yhdessä näkymässä

Pilvipalveluiden näkeminen yhdessä näkymässä helpottaa tietoturvajohtajan, operatiivisen johtajan ja asiakasrajapinnassa olevien tiimien vastaamista vaikeisiin kysymyksiin kitkattomasti. A.5.23:sta tulee vähemmän vaatimustenmukaisuusharjoitus ja yksinkertaisempi tapa kuvata, miten todellista työskentelyä tehdään.

Kun keskität pilvipalveluiden hallinnan tietoturvan hallinta-alustalle, annat itsellesi ja tiimillesi yhden viitepisteen A.5.23:lle. Voit:

Ylläpidä reaaliaikaista rekisteriä sisäisistä ja asiakkaille suunnatuista pilvipalveluista.
Yhdistä jokainen palvelu riskeihin, kontrolleihin, vastuumatriiseihin ja elinkaaren vaiheisiin.
Liitä sopimukset, due diligence -selvitykset, muutostietueet ja poistumistodisteet suoraan niihin liittyviin palveluihin.

Yhdessä nämä ominaisuudet helpottavat huomattavasti tilintarkastajien kysymyksiin, asiakkaiden tietoturvatarkastuksiin ja sisäisten päätöksentekijöiden kysymyksiin vastaamista, jotka haluavat ymmärtää, miten pilvipalveluita hallitaan. Sinun ei enää tarvitse luottaa muistiin tai erillisiin laskentataulukoihin pilvipalvelusi tason selvittämisessä.

Ota seuraava askel luottavaisin mielin

Jos tunnistat MSP:si tässä kuvatuissa haasteissa – hämärtyneet vastuut, hajanaiset todisteet, asiakkaiden ja tilintarkastajien kasvava paine – ISMS.online-alustan kaltaisen alustan tutkiminen lyhyessä ja kohdennetussa demonstraatiossa on käytännöllinen seuraava askel. Kasvavasta paineesta huolimatta lähes kaikki vuoden 2025 tietoturvallisuuden tilaa koskevaan kyselyyn vastanneet listasivat tärkeimmäksi tavoitteekseen turvallisuussertifikaattien, kuten ISO 27001- tai SOC 2 -standardin, hankkimisen tai ylläpitämisen.

Näet, miten se tukee olemassa olevia työkalujasi ja työskentelytapojasi samalla, kun se antaa sinulle A.5.23:n odottaman rakenteen.

Valitse ISMS.online, kun haluat säilyttää pilvipalvelusi rekisteriä, vastuita, riskejä ja todisteita yhdessä paikassa, jotta voit osoittaa, etkä vain väittää, että A.5.23 on hallinnassa. Jos arvostat selkeää hallintoa, sujuvampia auditointeja ja vahvempaa näkökulmaa asiakkaille ja hallituksille, tiimimme on valmis auttamaan sinua näkemään, miltä se näyttää sinun ympäristössäsi.

Varaa demo

Usein kysytyt kysymykset

Mitä ISO 27001:2022 A.5.23 -standardi todella odottaa pilvipalveluita käyttävältä hallinnoidulta palveluntarjoajalta (MSP)?

ISO 27001:2022 A.5.23 edellyttää, että MSP:si hallita aktiivisesti jokaisen käyttämäsi pilvipalvelun koko elinkaarta, ei vain kerätä palveluntarjoajan sertifikaatteja ja toivoa parasta. Sinun tulisi pystyä osoittamaan nopeasti ja johdonmukaisesti, mitä käytät, miksi käytät sitä, mikä voi mennä pieleen, kuka omistaa mitkäkin oikeudet ja miten voisit lopettaa tilanteen menettämättä tietoja tai palvelua.

Miltä "hyvä" A.5.23-todiste näyttää MSP:lle?

Tilintarkastajat ja innoissaan olevat asiakkaat etsivät yleensä pieni, yhtenäinen kimppu todisteita, ei jättimäistä arkistoa. MSP:n ydinsisältöön kuuluvat tyypillisesti:

Selvä pilvipalvelun käyttö-/pilvipalvelun tietoturvakäytäntö

Tämä määrittelee, mikä lasketaan "pilveksi" sinun maailmassasi (IaaS, SaaS, PaaS, hallitut tietoturvapalvelut), kuka voi hyväksyä uusia palveluita ja mitkä ovat vähimmäisodotuksesi konfiguroinnille, valvonnalle ja poistumiselle.

A pilvipalvelurekisteri joka kattaa:
sisäiset työkalut (RMM, PSA, tiketöinti, laskutus, CRM, valvonta, turvallinen tiedostonsiirto) ja
asiakaskohtaiset palvelut (IaaS-alustat, Microsoft 365 ja muut SaaS-paketit, varmuuskopiointi/DR, SOC/XDR, hallitut palomuurit ja WAF:t).

Pilvipalvelukohtaiset riskienarvioinnit ja käsittelyt:

Näissä tulisi ottaa huomioon usean vuokralaisen altistuminen, vahvat ristiinvuokralaisten roolit, datan säilytyspaikka, toimittajariippuvuus, API-riippuvuudet ja avaintenhallinta. Riskien tulisi liittyä todellisiin valvontatoimiin ja parannustoimiin.

Asianmukaisen huolellisuuden tiedot: keskeisille palveluntarjoajille ja alihankkijoille

Tyypillisesti tämä sisältää tietoturvayhteenvedot, sertifioinnit (esimerkiksi ISO 27001, SOC 2), tietoturvasopimukset (DPA), käyttöaikahistorian, tietomurtohistorian ja tunnetut rajoitukset tai poikkeukset, jotka vaikuttavat suunnitteluusi.

Jaetun vastuun matriisit:

Näytä jokaisen pääpalvelun osalta, mitä palveluntarjoaja tekee, mitä MSP:si tekee ja mitä asiakkaan on tehtävä. Kielen tulee olla riittävän konkreettista, jotta insinööri tai asiakas voi nähdä "minun tehtäväni" ilman toista tapaamista.

Pilvipalvelun elinkaaritiedot:

Todiste siitä, että valinta, perehdytys, konfigurointi, muutokset, säännöllinen tarkastelu ja poistuminen käsitellään hallitusti ja toistettavasti pikemminkin kuin kertaluonteisten tukipyyntöjen kautta.

Jos nämä elementit on yhdistetty ja helppokäyttöisiä, A.5.23 tuntuu hallitulta ja uskottavalta. ISMS.online-palvelun käyttäminen käytäntöjen, riskimerkintöjen, toimittajatietojen, vastuumatriisien ja elinkaaritodisteiden säilyttämiseen yhdessä ISMS-työtilassa tarkoittaa, että sinun ei tarvitse rekonstruoida pilvitietokantaasi saapuneiden sähköpostien hakujen ja konsolin näyttökuvien perusteella joka kerta, kun tilintarkastaja tai asiakas ottaa lausekkeen esiin.

Miten MSP:n tulisi rakentaa käyttökelpoinen jaetun vastuun malli pilvipalveluille kohdan A.5.23 mukaisesti?

Täytät A.5.23 kohdan tarkoituksen, kun ”jaetusta vastuusta” tulee palvelukohtainen kartta todellisista tehtävistä, ei vain markkinointidiaa, jossa lukee "sekä me että palveluntarjoaja välitämme turvallisuudesta". Jokaisen, joka sitä lukee – insinöörin, myyjän, sopimusten tarkastajan tai asiakkaan – tulisi voida nähdä tarkalleen, mitä he omistavat.

Miten muutat "jaetun vastuun" konkreettiseksi?

Käytännönläheisille palveluntarjoajille hyvin toimiva malli on:

1. Luetteloi pilvipalvelusi luokittain

Aloita lyhyellä listalla asioista:

Julkisen pilven työkuormat (IaaS/PaaS).
SaaS-tuottavuuspaketit (Microsoft 365, Google Workspace ja vastaavat).
Hallitut varmuuskopiointi- ja palautuspalvelut.
Hallitut SOC/XDR- ja uhkien tunnistuspalvelut.
Muita usein käytettyjä pilvipohjaisia työkaluja, joihin luotat liiketoimintasi pyörittämisessä tai palveluiden tarjoamisessa.

Tämä lista yleensä peilaa pilvipalvelurekisterisi merkintöjä, mikä helpottaa asioiden pitämistä ajan tasalla.

2. Valitse yhteinen joukko suojausalueita

Valitse pieni joukko verkkotunnuksia, jotka sopivat useimpiin palveluihisi, kuten:

Identiteetin ja pääsynhallinta.
Peruskonfiguraatio ja kovettuminen.
Lokikirjaus, valvonta ja hälytykset.
Varmuuskopiointi-, palautus- ja testausrutiinit.
Salaus ja avaintenhallinta.
Tapahtumien havaitseminen, luokittelu ja reagointi.
Muutoshallinta ja hyväksynnät.
Tietojen säilytys, säilytyspaikka ja hävittäminen

Standardijoukon noudattaminen helpottaa mallin ymmärtämistä ja uudelleenkäyttöä eri palveluissa.

3. Määritä omistajuus verkkotunnuskohtaisesti ja palvelukohtaisesti

Päätä kunkin palvelun ja jokaisen tietoturva-alueen osalta, kuka käytännössä tekee työn:

Pilvipalveluntarjoaja: – infrastruktuurin vikasietoisuus, fyysinen turvallisuus, useimmat pohjana olevat alustapäivitykset, joitakin lokien tallennusvaihtoehtoja.
Hallinnollinen palveluntarjoajasi: – vuokralaisten konfiguroinnin perustasot, hälytysten reititys, varmuuskopiointiaikataulut, palautustestaus, tapausten luokittelu, asiakasraportointi
asiakas: – käyttäjäkäyttäytyminen, hyväksyttävä käyttö, datan luokittelu, käyttöoikeuksien hyväksyminen, sisällön elinkaareen liittyvät päätökset

Jos vastuut on jaettu, kirjoita jako seuraavasti: tiettyjä tehtäviä, ei epämääräisiä ”nivel”-nimikkeitä. Esimerkiksi:

"Asiakas hyväksyy säilytysajan; MSP toteuttaa ja tarkistaa kokoonpanon neljännesvuosittain."
”MSP tarkistaa tietoturvahälytykset; palveluntarjoaja hoitaa alustatason tietoturvaloukkauksiin reagoinnin.”

4. Mallin upottaminen päivittäiseen toimintaan

Vastuumatriisilla on merkitystä vain, jos se esiintyy ihmisten työpaikalla. Varmista, että:

Viittaa siihen kohdassa runbookit ja playbookit, jotta insinöörit näkevät, mitä tehdä häiriöiden ja muutosten aikana.
Kohdistaa vakiopalvelukuvaukset ja palvelumääräykset sen kanssa, jotta myynti ei lupaa tehtäviä, joita et suorita.
Heijasta sitä sopimukset ja palvelutasosopimukset, jotta oikeudelliset sitoumukset vastaavat teknistä todellisuutta ja palveluntarjoajan valmiuksia.
Sisällytä se perehdytyspaketit, jotta uudet asiakkaat ymmärtävät, mitkä toiminnot pysyvät heillä mielessä ja mitkä sinun.

Näiden matriisien keskitetty ylläpito ISMS.online-palvelussa – linkitettynä pilvirekisterisi palveluihin, riskimerkintöihin ja toimittajatietoihin – mahdollistaa matriisin päivittämisen kerran ja muutoksen siirtymisen runbookeihin, dokumentaatioon ja auditointitodisteisiin. Tämä helpottaa huomattavasti A.5.23:n toimivuuden osoittamista käytännössä, ei vain käytäntöasiakirjassa.

Mitä pilvipalveluihin liittyviä riskejä A.5.23 korostaa MSP:ille, ja missä ne yleensä lipsahtavat paikoilleen?

Hallittujen palveluntarjoajien osalta A.5.23 ei niinkään koske yleisiä "pilvitietomurtoja" vaan pikemminkin virheelliset odotukset, konfiguraation heikkoudet ja huono elinkaaren hallinta jaetuissa ympäristöissä. Ongelmia syntyy usein siellä, missä markkinointilupauksesi, palveluntarjoajan kyvyt ja tiimin toimintatavat eivät kohtaa.

Missä MSP:t yleensä jäävät kiinni?

Toistuvasti ongelmia aiheuttavia malleja ovat:

Liiallinen riippuvuus palveluntarjoajien turvallisuusoletuksista

On helppo puhua "sisäänrakennetusta turvallisuudesta" olettaen, että pilvipalvelutilaukseen sisältyvät tehtävät, kuten palautustestaus, lokien tarkistus, uhkien metsästys tai vuokraajatason koventaminen. Todellisuudessa monet näistä toiminnoista ovat vastuusi MSP:näja joskus osittain asiakkaidesi. Kun niitä ei ole tallennettu vastuumatriiseihin ja runbookeihin, niitä harvoin toteutetaan johdonmukaisesti.

Liiallinen, huonosti hallinnoitu etuoikeutettu pääsy

Hallittujen palveluiden tarjoajilla (MSP) on usein vaikutusvaltaisia rooleja – globaaleja järjestelmänvalvojan tilejä, kumppaniportaaleja ja lasinmurtotunnisteita – jotka ulottuvat useille vuokralaisille. Jos näillä oikeuksilla ei ole vahvaa hyväksyntää, lokitusta ja tarkistusta, yhdestä vaarantuneesta tunnistetiedosta tai väärinkäytetystä tilistä voi tulla merkittävä usean vuokralaisen ongelma. A.5.23 edellyttää, että tunnistat tämän riskin resurssi- ja riskirekistereissäsi ja asetat sille selkeät hallintakeinot.

Rekisteröimätön tai "varjo" SaaS

Tiimit ottavat käyttöön SaaS-työkaluja, jotka käsittelevät arkaluonteisia tietoja tai asiakastietoja – tukea, yhteistyötä, kehitystä, myyntiä tai automatisointia varten – lisäämättä niitä koskaan tietoturvanhallintajärjestelmääsi, toimittajarekisteriisi tai riskiprosesseihisi. Nämä palvelut jäävät sitten valvonta-, tapauskohtaisten reagointi- ja poistumissuunnitelmiesi ulkopuolelle.

Heikot tai testaamattomat exit-suunnitelmat

Monet MSP:t ajattelevat irtautumista vasta, kun toimittaja ilmoittaa tuotteen lopettamisesta, merkittävästä hintamuutoksesta tai käyttökatkoksesta. Ilman kirjattua irtautumissuunnitelmaa – joka sisältää tietojen viennin, migraation, todisteiden säilyttämisen ja asiakasviestinnän – improvisoit juuri silloin, kun tarvitset eniten hallintaa.

Ylimitoitettuja lupauksia sisältävät palvelutasosopimukset

Sopimukset sitovat sinut joskus palautustavoitteisiin, säilytysaikoihin tai tietojen sijaintitietoihin, joita pohjana oleva palvelupino ei voi taata. Kun palvelusuunnittelu, pilvipalveluntarjoajan ominaisuudet ja sopimustekstit eivät täsmää, otat tarpeetonta riskiä.

A.5.23 antaa sinulle kehyksen näiden ongelmien systemaattiseen ratkaisemiseen:

Pilvipalveluiden luettelointi ja luokittelu: niin tiedät missä riski keskittyy.
Suorittaa pilvipalveluihin liittyvät riskinarvioinnit jotka käsittelevät usean vuokralaisen ongelmia, etuoikeutettuja käyttöoikeuksia ja palveluntarjoajien vikatilanteita.
Ylläpitää vastuumatriisit joten tehtävät annetaan, niistä pidetään kiinni ja niitä tarkastellaan.
näyttö elinkaaren vaiheet – perehdytyksestä poistumiseen – jotta ihmiset näkevät, että muutokset, arvioinnit ja poistumiset ovat kontrolloituja tapahtumia, eivät reaktioita.

Kun pystyt jäljittämään riskin – esimerkiksi liiallisen kumppaniportaalin käytön – rekisteristäsi vastuumatriiseihin ja sitten muuttamaan tietueita ja tekemään parannustoimenpiteitä, et ainoastaan täytä A.5.23-standardin vaatimuksia, vaan tarjoat myös paljon vahvemman pilviriskitarinan tilintarkastajille ja asiakkaille.

Kuinka MSP voi dokumentoida A.5.23:n tietoturvanhallintajärjestelmässään suunnittelematta kaikkea uudelleen?

Voit yleensä kattaa kohdan A.5.23 seuraavasti: pilvipohjaisen hallinnan kerrostaminen olemassa olevaan tietoturvanhallintajärjestelmääsirinnakkaisen rakenteen rakentamisen sijaan. Tavoitteena on, että kuka tahansa ISO 27001 -standardin tunteva voi seurata pilvipalveluiden valintaa, hallintaa ja käytöstä poistamista yhtä helposti kuin perinteisiä resursseja tai toimittajia.

Miten yhdistät pilvihallinnan jo olemassa olevaan?

Yksinkertainen mutta tehokas malli on aloittaa kolmesta toisiinsa kytketystä komponentista ja kytkeä ne sitten olemassa olevaan tietoturvanhallintajärjestelmääsi:

1. Pilvipalvelun käyttö / pilvipalvelun tietoturvakäytäntö

Laajenna olemassa olevaa tietoturvakäytäntöäsi kohdennetulla asiakirjalla, joka:

Määrittelee, mikä luokitellaan pilvipalveluksi omassa kontekstissasi.
Asettaa hyväksymiskynnykset (esimerkiksi kuka voi valtuuttaa uuden palveluntarjoajan).
Ilmoittaa odotukset due diligence -prosessista, konfiguraation lähtötasoista, valvonnasta, häiriöiden käsittelystä ja poistumisesta.

Tästä käytännöstä tulee asiaankuuluvien menettelyjen ja tietueiden ankkuri.

2. Pilvipalvelurekisteri

Luo rekisteri – usein ISMS.online-resurssi- tai toimittajaluettelo – joka sisältää vähintään seuraavat tiedot:

Palvelun nimi ja tarjoaja.
Sisäinen omistaja.
Liiketoiminnan tarkoitus.
Käsiteltävät tietotyypit ja tietojen sijainnit.
Kriittisyys ja tappion vaikutus.
Linkit sopimuksiin, DPA-sopimuksiin, sertifikaatteihin ja vastuumatriiseihin.

Voit integroida tämän olemassa olevaan resurssivarastoosi, jotta pilvipalvelut eivät elä erillisessä universumissa.

3. Jaetun vastuun matriisit

Tärkeimpien palveluiden osalta rakenna ja ylläpidä vastuumatriiseja aiemmin kuvatulla tavalla. Keskity aluksi seuraaviin:

Ensisijainen julkinen pilvialustasi.
Tärkein SaaS-tuottavuus- ja yhteistyöratkaisusi.
Lippulaivasi hallittu varmuuskopiointi/DR-ratkaisu.
Hallitut SOC/XDR-ratkaisusi tai vastaavat tietoturvaa palveluna -ratkaisut.

Voit sitten liittää nämä komponentit jo käyttämiisi tietoturvallisuuden hallintajärjestelmän elementteihin:

Riskienhallinta: – yhdistää pilvipalvelut riskien kirjauskohtiin ja niiden käsittelyyn, erityisesti silloin, kun on olemassa skenaarioita, joissa on useita vuokralaisia tai palveluntarjoajien toimintahäiriöitä.
Toimittajan johto: – liittää sopimukset, turvallisuusyhteenvedot, tietosuojasopimukset ja tarkastusraportit asiaankuuluviin palveluntarjoajiin; kirjata säännölliset tarkastelut ja päätökset.
Toiminnalliset hallintalaitteet: – viittaa pilvipohjaisiin käyttöönotto-, muutos-, arviointi- ja poistumisvaiheisiin olemassa olevissa muutoshallinta- ja tapaustenkäsittelyprosesseissasi.
Todisteiden hallinta: – linkitä tapaukset, varmuuskopiotestien tulokset, käyttöoikeustarkastukset ja parannustoimenpiteet takaisin asiaankuuluviin pilvimerkintöihin ja riskeihin.

Käytännön esimerkkien avulla – esimerkiksi yksi sisäinen SaaS, yksi julkiseen pilveen rakennettu asiakaslähtöinen ratkaisu ja yksi kriittinen alusta – voit osoittaa tilintarkastajille, että malli on toistettavissa ilman, että jokaista pientä palvelua tarvitsee dokumentoida erikseen. ISMS.online on suunniteltu tätä mallinnustyyliä varten: käytännöt, rekisterit, riskit, toimittajat, tehtävät ja todisteet ovat yhdessä, ja linkit tekevät pilvihallinnon kuvan seurannasta helppoa.

Mitä sopimuksia ja palvelutasosopimuksia (SLA) MSP:n tulisi mukauttaa osoittaakseen A.5.23:n asiakkaille?

Osoittaaksesi kohdan A.5.23 vakuuttavasti, tarvitset sekä alkupään että loppupään sopimukset vastaamaan tapaa, jolla tosiasiallisesti hallitset pilviriskiä. Tämä tarkoittaa, että sopimuksissasi ja palvelutasosopimuksissasi palveluntarjoajien ja alihankkijoiden kanssa sekä asiakasehtojesi tulisi kaikki viitata samoihin vastuunjakoihin ja valmiuksiin, jotka dokumentoit tietoturvanhallintajärjestelmässäsi.

Mitä sinun tulisi tarkistaa ylävirran palveluntarjoajan ja alihankkijan sopimuksista?

Tarkista kunkin sopimuksen osat, jotka vaikuttavat suoraan palveluihisi ja vaatimuksiisi:

Turvallisuus- ja saatavuussitoumukset: – varmista, että RPO/RTO-tavoitteet, käyttöaikasopimukset ja datan kestävyys ovat linjassa palveluidesi suunnittelun ja omien palvelusopimustesi lupausten kanssa.
Tietojen sijainti- ja asuinpaikkalausunnot: – sinun pitäisi pystyä vastaamaan kysymykseen "missä datamme on?" luottavaisin mielin, mukaan lukien varmuuskopiointipaikat ja vikasietoalueet.
Tapahtumasta ilmoittaminen ja asian käsittely eteenpäin: – tarkista, miten ja milloin palveluntarjoajat sitoutuvat ilmoittamaan sinulle asiakkaisiisi mahdollisesti vaikuttavista tapahtumista.
Tuki keskeisille ohjausobjekteille: – varmista, ovatko ominaisuudet, kuten yksityiskohtainen lokikirjaus, asiakkaan hallinnoimat salausavaimet, muuttumattomat varmuuskopiot tai edistyneet käyttöoikeuksien hallinnan asetukset, nimenomaisesti saatavilla ja tuettuja.
Varmuusmekanismit: – tunnista sertifikaatit, varmennusraportit, penetraatiotestien yhteenvedot tai sopimukselliset auditointioikeudet, joita voit käyttää todisteena omassa tietoturvanhallintajärjestelmässäsi ja asiakasraportoinnissa.

Sinun ei ehkä tarvitse neuvotella jokaista sopimusta uudelleen, mutta sinun tulee ymmärtää ja dokumentoida, missä tapauksissa palveluntarjoajan sitoumukset jäävät nykyisten palvelukuvaustesi ulkopuolelle, ja mukauttaa omia tarjouksiasi tai arkkitehtuurejasi vastaavasti.

Miten asiakassopimusten ja palvelutasosopimusten tulisi muuttua A.5.23:n mukaisiksi?

Asiakaskohtaisten dokumenttiesi tulisi loppupäässä:

Tunnista selvästi mitkä palvelut ovat riippuvaisia mistä pilvialustoista, erityisesti silloin, kun se vaikuttaa datan sijaintiin, vikasietoisuuteen tai tukeen.
Selittää kuka on vastuussa mistäkin valvonta-alueesta – kuten käyttäjien käyttöoikeuksien hyväksynnät, hyväksyttävä käyttö, luokittelu, lainmukaiset säilytysvaatimukset ja sisällön elinkaari – jaettujen vastuumatriisien mukaisesti.
Omistautua toipumistavoitteet, säilytysajat ja tapahtumatiedottamisen aikataulut että alkupään sopimuksesi ja suunnittelusi voivat luotettavasti toimittaa.
Viite tai linkki, vastuu- ja riippuvuustiedot tavalla, jonka asiakkaat ymmärtävät lukematta tietoturvanhallintajärjestelmääsi.

Kun ylävirran sopimukset, sisäiset vastuumatriisit ja alavirran palvelutasosopimukset kertovat kaikki samaa tarinaa, on paljon helpompi opastaa asiakasta tai tilintarkastajaa pilviriskien hallinnassa A.5.23:n mukaisesti. Näiden asiakirjojen hallinta ISMS.online-järjestelmässä käytäntöjen ja riskien rinnalla auttaa pitämään narratiivin linjassa palveluntarjoajien päivittäessä ehtojaan, määräysten kehittyessä ja asiakkaiden vaatiessa enemmän.

Kuinka MSP voi käyttää ISMS.onlinea pitääkseen A.5.23:n hallinnassa pilvipalveluiden muuttuessa?

ISMS.online auttaa sinua pitämään A.5.23:n hallinnassa muuttamalla pilvihallinnan jatkuvasti päivittyvä, yhdistetty järjestelmä, sen sijaan, että se olisi joukko staattisia dokumentteja, jotka jäävät jälkeen muutosten jälkeen. Kun otat käyttöön, muokkaat tai poistat käytöstä pilvipalveluita, tietoturvanhallintajärjestelmänäkymäsi pysyy ajan tasalla, auditoitavana ja selitettävissä.

Miltä päivittäinen A.5.23-hallinta näyttää ISMS.online-palvelussa?

Tyypillisessä kokoonpanossa tiimisi käyttäisi ISMS.online-palvelua seuraaviin tarkoituksiin:

Ylläpidä reaaliaikaista pilvipalvelurekisteriä

Kirjaa ylös jokainen pilvipalvelu ja sen omistaja, tarkoitus, tietotyypit, tietojen sijainnit ja kriittisyys.
Sisäisesti käytetyt tunnistepalvelut verrattuna hallittujen palveluiden toimittamiseen käytettyihin palveluihin.
Yhdistä jokainen merkintä asiaankuuluviin käytäntöihin, riskeihin, toimittajiin ja vastuullisuusmatriiseihin.

Liitä ja seuraa pilviin liittyviä riskejä ja hoitoja

Luo riskimerkintöjä usean vuokralaisen altistumiselle, tehokkaille vuokralaisten välisille tileille, tietojen säilytyspaikalle, palveluntarjoajan sitouttamiselle ja API-riippuvuuksille.
Määritä hoidot, omistajat ja arviointipäivämäärät.
Käytä alustan linkitettyjä töitä ja projekteja korjaus- ja parannustoimien seuraamiseen.

Säilytä sopimukset, sertifikaatit ja due diligence -selvitykset yhdessä paikassa

Lataa toimittajien sopimukset, tietoturvasopimukset, tietoturvayhteenvedot ja varmennusraportit suoraan toimittajan tietueita vasten.
Kirjaa arviointien tulokset ja päätökset, jotta voit osoittaa, että palveluntarjoajan riskiä hallitaan ajan kuluessa.

Keskitä jaetun vastuun matriisit

Ylläpidä yhtä auktoritatiivista matriisia kutakin merkittävää pilvipalvelua tai palveluperhettä kohden.
Linkitä matriisit käytäntöihin, palvelukuvauksiin, riskimerkintöihin ja toimittajatietoihin.
Käytä niitä referenssinä päivittäessäsi runbookeja, palvelutasosopimuksia ja perehdytysmateriaaleja.

Todisteiden elinkaaren toiminnot

Kirjaa valinta, käyttöönotto, konfiguraation lähtötason hyväksynnät, muutosten tarkastelut, säännölliset uudelleenarvioinnit ja lopetusvaiheet tehtävinä tai linkitettyinä työkohteina.
Yhdistä asiaankuuluvat häiriöt, varmuuskopiotestit, käyttöoikeustarkastukset ja parannukset asiaankuuluviin palveluihin ja riskeihin.

Kun otat käyttöön uuden alustan, voit kloonata olemassa olevan merkinnän, muokata konfiguraatiota ja vastuita sekä yhdistää sen riskeihin ja toimittajiin muutamassa minuutissa. Kun poistat palvelun käytöstä, voit tallentaa tietojen siirtoon, tyhjennykseen ja todisteiden säilyttämiseen liittyvät päätökset samaan paikkaan.

Auditointeja, asiakaskyselyitä tai hallituksen kokouksia varten voit koota kohdennetun A.5.23-todistepaketin suoraan ISMS.online-sivustolta: pilvikäytäntö, nykyinen rekisteri, esimerkkivastuullisuusmatriisit, keskeiset pilviriskit ja niiden käsittelytavat, toimittajien due diligence -tarkastukset sekä otos elinkaari- ja tapahtumarekistereistä. Kyky kertoa johdonmukainen, kokonaisvaltainen kerros saa MSP:n näyttämään pilvipalvelun hallinnan hallitsevalta sen sijaan, että se jatkuvasti reagoisi. Jos haluat asiakkaiden ja tilintarkastajien näkevän sinut tässä ensimmäisessä ryhmässä, A.5.23-standardin asianmukaiseen jäsentämiseen investoiminen ISMS.online-sivustolla on seuraava tehokas askel.

A.5.23 Tietoturva pilvipalveluiden käytössä – MSP:n pilvialustat ja jaettu vastuu