"ГОСТ Р ИСО/МЭК 27017-2021. Национальный стандарт Российской Федерации. Информационные технологии. Методы и средства обеспечения безопасности. Правила применения мер обеспечения информационной безопасности на основе ИСО/МЭК 27002 при использовании облачных служб"
(утв. и введен в действие Приказом Росстандарта от 19.05.2021 N 389-ст)

Потребитель облачных служб должен определить отдельную политику, касающуюся вопросов ИБ в сфере облачных вычислений. Политика ИБ в сфере облачных вычислений должна соответствовать допустимым уровням рисков ИБ, принятым в организации в отношении информационных и других активов. При определении политики ИБ в сфере облачных вычислений потребитель облачной службы должен учитывать следующее:

- возможность доступа к информации, хранящейся в облачной среде, и управления ею со стороны поставщика облачных служб;

- возможность обслуживания активов в облачной среде, например прикладных программ;

- возможность выполнения процессов в многопользовательской виртуализированной облачной службе;

- пользователей облачных служб и среду, в которой они ее используют;

- администраторов облачных служб со стороны потребителя служб (доступ с привилегией);

- географическое расположение организации поставщика облачных служб и страны, в которых поставщик может хранить данные о потребителях облачных служб (даже временно)

Поставщик облачных служб должен дополнить свою политику ИБ с учетом вопросов обеспечения и использования облачных служб, учитывая следующее:

- базовые требования к ИБ, применимые к проектированию и внедрению облачной службы;

- риски, связанные с уполномоченными инсайдерами;

- многопользовательскую среду и изоляцию потребителей облачных служб (включая виртуализацию);

- доступ к активам потребителя облачных служб для сотрудников поставщика облачных служб;

- процедуры контроля доступа, например строгую аутентификацию для административного доступа к облачным службам;

- взаимодействие с потребителями облачных служб в процессе управления изменениями;

- безопасность виртуализации;

- доступ к данным потребителей облачных служб и их защиту;

- управление жизненным циклом учетных записей потребителей облачных служб;

- информирование о нарушениях и руководящие принципы в области обмена информацией для содействия в процессе расследований и криминалистических исследований

Потребитель облачных служб должен согласовать с поставщиком облачных служб соответствующее разделение ролей и обязанностей в области ИБ и подтвердить, что он может исполнять назначенные ему роли и обязанности. Роли по обеспечению ИБ и обязанности обеих сторон должны быть задокументированы в соглашении.

Потребитель облачных служб должен определить порядок взаимодействия с функцией клиентской поддержки и обслуживания поставщика облачных служб и управлять этим взаимодействием

Поставщик облачных служб должен согласовать и задокументировать соответствующее разделение ролей и обязанностей по обеспечению ИБ со своими потребителями облачных служб, поставщиками облачных служб и другими поставщиками

Потребитель облачных служб должен определить инстанции, имеющие отношение к совместным операциям потребителя и поставщика облачных служб

Поставщик облачных служб должен информировать потребителя облачных служб о географическом расположении организации поставщика облачных служб и странах, в которых поставщик может хранить данные потребителя облачных служб

Потребитель облачных служб должен включить в свои информационно-просветительские и учебные программы по облачным вычислениям для руководителей, менеджеров, администраторов, интеграторов и пользователей облачных служб (в том числе соответствующих сотрудников и подрядчиков) вопросы, касающиеся следующего:

- стандартов и процедур использования облачных служб;

- рисков ИБ, связанных с облачными службами, и способов управления этими рисками;

- рисков системной и сетевой среды при использовании облачных служб;

- применимых нормативно-правовых вопросов. Следует обеспечить прохождение информационно-просветительских и учебных программ по вопросам облачных вычислений руководством и руководителями контролирующих подразделений, в том числе бизнес-подразделений. Это способствует эффективной координации действий по обеспечению ИБ

Поставщик облачных служб должен обеспечивать прохождение своими сотрудниками информационно-просветительских и учебных программ, а также требовать от своих подрядчиков обучения в отношении надлежащего обращения с данными потребителей облачных служб и данными, полученными из облачных служб. Такие данные могут содержать конфиденциальную информацию потребителя облачных служб, или в отношении такой информации могут действовать определенные ограничения, в том числе нормативные, в отношении доступа и использования поставщиком облачных служб

Инвентаризация активов потребителя облачных служб должна учитывать информацию и соответствующие активы, хранящиеся в среде облачных вычислений. В записях инвентаризации должно быть указано, где хранятся активы, например идентификация облачных служб

Инвентаризация активов поставщика облачных служб должна четко определять следующее:

- данные потребителей облачных служб;

- данные, полученные из облачных служб

Потребитель облачных служб должен маркировать информацию и соответствующие активы, хранящиеся в среде облачных вычислений, в соответствии с принятыми им процедурами маркировки. В применимых случаях возможно использование функциональных возможностей маркировки, предоставляемых поставщиком облачных служб

Поставщик облачных служб должен документально оформлять и раскрывать информацию о предоставляемой им функциональности, позволяющей потребителям облачных служб классифицировать и маркировать свою информацию и соответствующие активы

Политика потребителя облачных служб в отношении контроля доступа для использования сетевых служб должна определять требования к доступу пользователей по каждой отдельной используемой облачной службе

(Дополнительные рекомендации по реализации не применяются)

(Дополнительные рекомендации по реализации не применяются)

Для управления доступом пользователей со стороны потребителя облачных служб поставщик облачных служб должен предоставить потребителю функции регистрации и снятия с учета пользователей, а также спецификации для использования этих функций

(Дополнительные рекомендации по реализации не применяются)

Поставщик облачных служб должен предоставить функции управления правами доступа пользователю облачных служб со стороны потребителя служб, а также спецификации для использования этих функций

Потребитель облачных служб должен использовать достаточные методы аутентификации (например, многофакторную аутентификацию) для аутентификации своих администраторов облачных служб при использовании возможностей администрирования облачной службы в соответствии с выявленными рисками

Поставщик облачных служб должен предоставить достаточные методы аутентификации для аутентификации администраторов облачных служб со стороны потребителя при использовании возможностей администрирования облачных служб в соответствии с выявленными рисками. Например, поставщик облачных служб может предоставить возможности многофакторной аутентификации или разрешить использование сторонних механизмов многофакторной аутентификации

Потребитель облачных служб должен убедиться, что процедура управления, применяемая поставщиком службы для выделения секретной аутентификационной информации, такой как пароли, соответствует требованиям потребителя облачных служб

Поставщик облачных служб должен предоставить информацию о процедурах, которые он предоставляет для управления секретной аутентификационной информацией потребителя службы, в том числе о процедуре выделения такой информации и аутентификации пользователей

Потребитель облачных служб должен обеспечить, чтобы доступ к информации облачной службы мог быть ограничен в соответствии с его политикой контроля доступа, а также чтобы такие ограничения были реализованы. Эти ограничения включают в себя ограничение доступа к облачным службам, функциям этих служб и данным потребителя облачных служб, которые хранятся в службе

Поставщик облачных служб должен предоставить средства контроля доступа, позволяющие потребителю служб ограничивать доступ к своим облачным службам, функциям служб и своим данным, которые хранятся в службе

Если использование утилит разрешено, потребитель облачных служб должен определить утилиты, которые будут использоваться в его среде облачных вычислений, и обеспечить, чтобы они не препятствовали работе средств управления облачной службы

Поставщик облачных служб должен определить требования к утилитам, используемым в рамках облачных служб.

Поставщик облачных служб должен обеспечить, чтобы утилиты, способные обойти стандартные эксплуатационные процедуры или процедуры безопасности, использовались только уполномоченным на то персоналом, и чтобы использование таких программ регулярно проверялось

Потребитель облачных служб должен реализовать криптографические средства защиты информации для использования облачных служб, если это оправдано проведенным анализом рисков. Эти меры должны быть достаточно эффективными для устранения выявленных рисков, независимо от того, предоставляются ли эти меры и средства потребителем или поставщиком облачных служб. Если поставщик облачных служб предлагает криптографические средства защиты информации, потребитель облачных служб должен проанализировать информацию, предоставленную поставщиком, чтобы убедиться, что эти меры:

- соответствуют требованиям политики потребителя облачных служб;

- совместимы с другими криптографическими средствами защиты информации, используемыми потребителем облачных служб;

- применимы к данным в состоянии покоя и при передаче в облачную службу, из нее и в рамках нее

Поставщик облачных служб должен предоставить потребителю этих служб информацию об обстоятельствах, при которых он использует криптографические средства защиты обрабатываемой им информации. Поставщик облачных служб также должен предоставить потребителю служб информацию о предоставляемых им возможностях, которые могут помочь потребителю облачных служб в применении собственных криптографических средств защиты информации

Потребитель облачных служб должен определить криптографические ключи для каждой облачной службы и реализовать процедуры управления ими. Если облачная служба предоставляет функции управления ключами для использования потребителем, то потребитель должен запросить следующую информацию о процедурах, используемых для управления ключами, связанными с этой службой:

- типы ключей;

- спецификации системы управления ключами, включая процедуры на каждом этапе жизненного цикла ключа, т.е. генерирование, изменение или обновление, хранение, удаление, извлечение, сохранение и уничтожение;

- рекомендуемые процедуры управления ключами для использования потребителем облачных служб.

Если потребитель облачной службы использует собственную систему управления ключами или отдельную службу управления ключами, то потребитель облачной службы не должен давать поставщику этой службы разрешение на хранение ключей шифрования для криптографических операций и управление ими

(Дополнительные рекомендации по реализации не применяются)

Потребитель облачных служб должен запрашивать подтверждение наличия у поставщика облачных служб политик и процедур в отношении безопасной утилизации и повторного использования ресурсов

Поставщик облачных служб должен обеспечить своевременные меры для безопасной утилизации или повторного использования ресурсов (например, оборудования, хранилища данных, файлов, памяти)

В процессе управления изменениями потребитель облачных служб должен учитывать любые изменения, вносимые поставщиком облачных служб

Поставщик облачных служб должен предоставить потребителю облачных служб информацию об изменениях в облачных службах с возможными отрицательными последствиями. Следующая информация может помочь потребителю облачных служб определить последствия изменения для ИБ:

- категории изменений;

- запланированные дату и время изменений;

- технические параметры изменений облачных служб и базовых систем;

- уведомление о начале и завершении внесения изменений.

Если поставщик облачных служб предлагает службу, зависящую от другого поставщика облачных служб, то поставщик такой службы должен уведомлять потребителя этой службы об изменениях, связанных со сторонним поставщиком этой облачной службы

Потребитель облачных служб должен обеспечить соответствие производительности облачных служб требованиям потребителя облачных служб.

Потребитель облачных служб должен отслеживать использование служб и формировать прогноз требуемой производительности для обеспечения надлежащей производительности облачных служб в течение определенного периода времени

Поставщик облачных служб должен отслеживать общий объем ресурсов с целью предотвращения инцидентов ИБ, вызванных недостатком ресурсов

В случае предоставления поставщиком облачных служб возможностей резервного копирования потребителю облачных служб необходимо запрашивать спецификации таких возможностей у поставщика. Необходимо также проверить соответствие таких спецификаций требованиям к резервному копированию.

Потребитель облачных служб несет ответственность за реализацию функций резервного копирования в тех случаях, когда поставщик облачных служб такие функции не предлагает

Поставщик облачных служб должен предоставить спецификации своих возможностей резервного копирования потребителю облачных служб. В зависимости от ситуации, в спецификациях должна отражаться следующая информация:

- объем и расписание резервного копирования;

- методы резервного копирования и форматы данных, в том числе шифрование (если используется);

- периоды хранения данных резервного копирования;

- процедуры подтверждения целостности данных резервного копирования;

- процедуры и временные рамки восстановления данных, сохраненных с помощью резервного копирования;

- процедуры тестирования функций резервного копирования;

- места хранения данных резервного копирования.

Поставщик облачных служб должен обеспечить безопасный раздельный доступ к данным резервного копирования, таким как виртуальные снимки данных, если такая услуга предлагается потребителям облачных служб

Потребителю облачных служб необходимо определить требования к ведению журналов событий безопасности и проверить выполнение этих требований поставщиком служб

Поставщик облачных служб должен обеспечить возможности ведения журналов для потребителя облачных служб

Если привилегированные операции передаются в ведение потребителя облачных служб, необходимо ведение журналов действий и производительности таких операций. Потребитель облачных служб должен оценить адекватность функций ведения журналов, предлагаемых поставщиком облачных служб, и при необходимости расширить соответствующий функционал

(Дополнительные рекомендации по реализации не применяются)

Потребителю облачных служб необходимо запросить информацию о генераторе тактового сигнала, используемом в системах поставщика облачных служб

Поставщик облачных служб должен предоставить потребителю информацию о генераторе тактового сигнала, используемом в системах поставщика облачных служб, а также информацию о том, как потребитель облачных служб может синхронизировать локальные генераторы тактового сигнала с облачным генератором тактового сигнала

Потребитель должен запросить у поставщика облачных служб информацию об управлении техническими уязвимостями, которые могут повлиять на предоставляемые облачные службы. Потребители облачных служб должны определить свою зону ответственности за технические уязвимости и выработать процессы для управления ими

Поставщик облачных служб должен предоставить потребителю облачных служб информацию об управлении техническими уязвимостями, которые могут повлиять на предоставляемые службы

Потребитель облачных служб должен определить требования к разделению сетей для изоляции пользователей в среде общего пользования службы и проверить выполнение этих требований поставщиком облачных служб

Поставщик облачных служб должен обеспечить разделение сетевого доступа в следующих случаях:

- разделение пользователей в совместно арендуемых средах;

- отделение внутренней административной среды поставщика облачных служб от среды облачных вычислений потребителя.

В зависимости от ситуации поставщик облачных служб должен оказать содействие потребителю в проверке реализованных поставщиком мер по разделению сетей

Потребитель облачных служб должен определить собственные требования ИБ к облачным службам и оценить степень соответствия этим требованиям предлагаемых поставщиком услуг. Для проведения оценки потребитель облачных служб запрашивает информацию о возможностях обеспечения ИБ у поставщика этих служб

Поставщик облачных служб предоставляет потребителям данные о мерах обеспечения ИБ, применяемых к используемым ими службам. Эти данные должны быть достаточно информативными, но при этом не должны давать злоумышленникам возможность использовать их в своих целях

Потребитель облачных служб запрашивает у их поставщика информацию об использовании поставщиком процедур и методов безопасной разработки

Поставщик облачных служб должен предоставить информацию об использовании у себя процедур и методов безопасной разработки в той степени, в которой это соответствует его собственной политике неразглашения информации

Потребитель облачных служб должен отразить поставщика в своей политике ИБ во взаимоотношениях с поставщиками. Это поможет снизить риски, связанные с доступом поставщика облачных служб к данным их потребителя и управлением такими данными

(Дополнительные рекомендации по реализации не применяются)

Потребитель облачных служб должен утвердить роли и обязанности в области ИБ в связи с облачными службами согласно условиям соглашения о службе. Речь может идти о следующих процессах:

- защита от вредоносного программного обеспечения;

- резервное копирование;

- криптографические средства защиты информации;

- управление уязвимостями;

- управление инцидентами;

- проверка технического соответствия;

- тестирование безопасности;

- аудит;

- сбор, хранение и защита свидетельств, в том числе журналов и документов аудита;

- защита информации после прекращения действия соглашения об обслуживании;

- аутентификация и контроль доступа;

- идентификация и управление доступом

В рамках соглашения поставщик облачных служб должен указать меры обеспечения ИБ, направленные на устранение возможных недоразумений между поставщиком и потребителем облачных служб.

Реализуемые поставщиком облачных служб меры обеспечения ИБ могут варьироваться в зависимости от типа службы, используемой потребителем

(Дополнительные рекомендации по реализации не применяются)

Если поставщик облачных служб использует облачные службы других поставщиков, от него требуется реализация мер обеспечения ИБ, которые по меньшей мере соответствуют уровню ИБ потребителей этих облачных служб.

Если поставщик предоставляет облачные службы на базе цепочки поставок, такой поставщик должен обозначить задачи в области ИБ для своих поставщиков и требовать от каждого из них выполнения мероприятий по управлению рисками для осуществления этих задач

Потребитель облачных служб должен проверить разделение обязанностей и процедур по управлению инцидентами ИБ, убедиться в их соответствии собственным требованиям

В рамках спецификаций обслуживания поставщик облачных служб должен обеспечить разделение обязанностей и процедур по управлению инцидентами ИБ между потребителем и поставщиком облачных служб.

Поставщик облачных служб должен предоставить потребителю документы со следующей информацией:

- перечнем инцидентов ИБ, о которых поставщик облачных служб должен сообщать своему потребителю;

- описанием степени раскрытия выявленных инцидентов ИБ и соответствующих мер реагирования;

- сроком направления уведомлений о выявленных инцидентах ИБ;

- процедурой уведомления об инцидентах ИБ;

- контактными данными ответственных за решение вопросов, связанных с инцидентами ИБ;

- мерами разрешения возникающих инцидентов ИБ

Потребитель облачных служб запрашивает у своего поставщика информацию о выполнении следующих процедур:

- сообщения потребителя облачных служб о выявленных событиях ИБ, направляемые поставщику облачных служб;

- сообщения поставщика облачных служб о выявленных событиях ИБ, направляемые потребителю облачных служб;

- отслеживание потребителем облачных служб статуса сообщенного события ИБ

Поставщик облачных служб должен обеспечить выполнение следующих процедур:

- сообщения потребителя облачных служб о событиях ИБ, направляемые поставщику облачных служб;

- сообщения поставщика облачных служб о событиях ИБ, направляемые потребителю облачных служб;

- отслеживание потребителем облачных служб статуса сообщенного события ИБ

Потребитель и поставщик облачных служб должны согласовать процедуры реагирования на запросы о возможном наличии цифровых свидетельств или иной информации в среде облачных вычислений

Потребитель облачных служб должен проанализировать возможность применимости законодательства и нормативно-правовых актов юрисдикций поставщика таких служб, помимо законодательства и правовых актов, непосредственно регулирующих деятельность потребителя облачных служб.

Потребитель облачных служб запрашивает свидетельства выполнения своим поставщиком важных для потребителя требований соответствующих нормативно-правовых актов и стандартов. В качестве таких свидетельств могут служить сертификаты сторонних проверяющих организаций

Поставщик облачных служб должен информировать своего потребителя о требованиях правовой юрисдикции, регулирующих их предоставление.

Поставщик облачных служб должен быть осведомлен о действующих в его отношении законодательных требованиях (например, о шифровании для защиты персональных данных). Эта информация должна предоставляться по запросу потребителя облачных служб.

Поставщик облачных служб должен предоставить своему потребителю свидетельства выполнения требований действующего законодательства и договорных обязательств

Установка лицензионного коммерческого программного обеспечения в облачной службе может приводить к нарушению условий лицензий. Потребитель облачных служб должен предусмотреть процедуру выяснения лицензионных требований в отношении облачных служб перед выдачей разрешения на установку лицензионного программного обеспечения в облачной среде. Особого внимания требуют гибкие и масштабируемые облачные среды, где программное обеспечение может использоваться на большем количестве систем или ядер процессоров, чем допускают условия лицензий

Поставщик облачных служб должен внедрить процесс реагирования на жалобы, касающиеся нарушений прав интеллектуальной собственности

Потребитель облачных служб запрашивает у своего поставщика информацию о защите собираемых и хранимых им записей об использовании облачных служб потребителем

Поставщик облачных служб предоставляет потребителю этих служб информацию о защите собираемых и хранимых поставщиком записей об использовании облачных служб потребителем

Потребитель облачных служб должен убедиться в том, что набор криптографических мер обеспечения ИБ, используемых при предоставлении облачных служб, соответствует действующим соглашениям, законодательным и нормативным требованиям

Поставщик облачных служб предоставляет своему потребителю описание реализованных им криптографических мер обеспечения ИБ для определения соответствия требованиям действующих соглашений, законодательных и нормативных актов

Потребитель облачных служб запрашивает у своего поставщика документальные свидетельства по реализации мер обеспечения ИБ облачных служб, заявляемых поставщиком служб. Среди прочего, такие свидетельства могут включать в себя сертификаты соответствия действующим стандартам

Поставщик облачных служб должен предоставить потребителю этих служб документальные свидетельства реализации заявленных им мер обеспечения ИБ. В тех случаях, когда проведение отдельного аудита потребителем облачных служб не представляется целесообразным или может повысить риск ИБ, поставщик облачных служб должен обеспечить независимые свидетельства реализации мер обеспечения ИБ в соответствии с политиками и процедурами поставщика облачных служб. Эти свидетельства должны предоставляться потенциальным потребителям облачных служб до заключения договора. В качестве независимого аудита должен использоваться приемлемый на усмотрение поставщика облачных служб метод оценки его операций с учетом интересов потребителей и при условии обеспечения достаточной прозрачности. В тех случаях, когда проведение независимого аудита представляется нецелесообразным, поставщик облачных служб должен провести проверку своих собственных операций, обеспечив прозрачность ее процедуры и результатов для потребителей облачных служб

Потребитель облачных служб должен определить или дополнить свои существующие политики и процедуры в соответствии со спецификой использования облачных служб, а также должен информировать пользователей облачных служб о своих ролях и обязанностях при использовании этих служб

Поставщик облачных служб должен задокументировать и сообщить о своих возможностях, ролях и обязанностях в области ИБ при использовании своих облачных служб, а также о ролях и обязанностях в сфере безопасности, которые потребитель облачных служб должен реализовать и контролировать в рамках собственного использования служб

Потребитель облачных служб запрашивает документальное описание процесса прекращения обслуживания, включая процедуру возвращения и удаления облачных активов потребителя, в том числе удаления всех копий этих активов из систем поставщика облачных служб.

Описание процесса прекращения обслуживания должно содержать список всех активов вместе с графиком прекращения обслуживания в установленные сроки

Поставщик облачных служб должен предоставить информацию о мерах, предпринятых для возвращения и удаления всех активов потребителя облачных служб после прекращения действия соглашения об их использовании.

Порядок возврата и удаления активов отражается в соглашении и осуществляется в установленные сроки. В описании процесса прекращения обслуживания должны быть указаны все возвращаемые и удаляемые активы

(Дополнительные рекомендации по реализации не применяются)

Поставщик облачных служб должен обеспечить надлежащее логическое разделение данных потребителей облачных служб, виртуализированных приложений, операционных систем, хранилищ и сетей для решения следующих задач:

- разделения ресурсов, используемых потребителями облачных служб в совместно арендуемых средах;

- отделения внутренней административной инфраструктуры поставщика служб от ресурсов, используемых потребителями облачных служб.

В совместно арендуемых облачных службах поставщик должен внедрить меры обеспечения ИБ для надлежащей изоляции ресурсов, используемых различными арендаторами.

Поставщик облачных служб должен учитывать риски, связанные с запуском программного обеспечения, предоставляемого клиентом в рамках служб, предлагаемых поставщиком облачных служб

При настройке виртуальных машин потребители и поставщики облачных служб должны обеспечить защиту соответствующих аспектов (например, только тех портов, протоколов и служб, которые необходимы) и наличие соответствующих технических мер (например, средства противодействия вредоносному ПО, ведение журналов регистрации) для каждой используемой виртуальной машины

Потребитель облачных служб должен отразить в документации процедуры для критически важных операций, сбой которых может нанести непоправимый ущерб облачной вычислительной среде.

Примеры критически важных операций:

- установка, модификация и удаление виртуализированных устройств, таких как серверы, сети и хранилища;

- процедуры прекращения предоставления облачных служб;

- резервное копирование и восстановление.

В документе должно быть указано на необходимость контроля над этими операциями со стороны отдельного сотрудника

Поставщик облачных служб должен предоставить документацию о критически важных операциях и процедурах потребителям облачных служб, при необходимости

Потребитель облачных служб запрашивает у поставщика информацию о возможностях мониторинга обслуживания, поддерживаемых каждой облачной службой

Поставщик облачных служб должен обеспечить потребителю возможность мониторинга определенных аспектов работы служб, используемых потребителем. Например, возможность отслеживания использования облачной службы в качестве платформы для злонамеренных атак или утечек конфиденциальных данных из облачной службы. Использование функций мониторинга должно быть защищено средствами управления доступом. Эти средства должны обеспечивать доступ только к той информации, которая относится к собственным экземплярам облачных служб их потребителя.

Поставщик облачных служб должен предоставить потребителю этих служб документацию о средствах мониторинга служб.

В процессе мониторинга необходимо обеспечить возможность получения данных, сопоставимых с журналами событий (пункт 12.4.1) и содействующих выполнению условий соглашения об уровне обслуживания

(Дополнительные рекомендации по реализации не применяются)

Поставщик облачных служб должен разработать и отразить в документации политику ИБ в отношении настроек виртуальной сети в координации с политикой безопасности в отношении физической сети. Поставщик облачных служб должен убедиться в том, что конфигурация виртуальной сети соответствует политике ИБ, вне зависимости от средств, используемых для создания конфигурации

ISO/IEC 17788

ГОСТ ISO/IEC 17788-2016 "Информационные технологии. Облачные вычисления. Общие положения и терминология"

ISO/IEC 17789

ISO/IEC 27000

ISO/IEC 27002-2013