控制項實施解析：5.23 雲服務的資訊安全

ISO 27001:2022 控制項要求

組織應依其資訊安全要求，建立獲取、使用、管理及退出雲端服務的過程。

ISO 27002:2022 實施指引

制訂雲服務使用政策

組織需要制訂雲服務使用的政策，並向相關利益方傳達，讓所有人清楚組織對雲服務的資安立場與規範。

共同責任模式

雲服務的風險管理強調雲服務提供者與雲服務客戶之間的**共同責任（shared responsibility）**模式：雙方各自負責哪些安全控制，必須明確劃分，不能假設「上雲之後安全都是供應商的事」。

組織應定義的十項要素

針對雲服務的使用，組織應定義以下事項：

1. 與雲服務相關的資訊安全要求
2. 雲服務的選擇標準與使用範圍
3. 雲服務相關的角色與責任劃分
4. 如何從雲服務提供者取得安全相關資訊
5. 如何驗證雲服務提供者實施的控制措施
6. 退出策略（exit strategy）
7. 對雲服務的持續監測與評估方法
8. 雙方的責任分工
9. 資安事件的處理程序
10. 多雲環境的管理方式

服務協議的核心內容

與雲服務提供者的服務協議，應涵蓋組織資訊的機密性、完整性、可用性，以及個人資訊處理的要求。

協議應包含的保護條款

雲服務協議中應納入的保護條款，涵蓋以下面向（共八項）：

• 基礎設施應符合的標準
• 存取控制要求
• 惡意軟體防護
• 資料儲存與處理的地理位置
• 資安事件發生時的支援
• 分包（轉包）的限制
• 數位證據的收集支援
• 服務終止時的退出支援

變更通知機制

協議中應要求雲服務提供者在下列情況發生前提前通知客戶：

• 基礎設施的重大變更
• 資料儲存或處理地理位置的異動
• 分包商的異動

原始頁面：5.23 雲服務的資訊安全（舊站）