Propósito
Dar ao participante uma leitura completa e ordenada da norma, do conceito ao detalhe dos controles, para que ele consiga decidir o que fazer na própria organização.
Ao final, quem assistir vai saber o que a 27017 é e o que ela não é, como ela se encaixa entre a ISO/IEC 27001 e a ISO/IEC 27002, o que mudou na segunda edição, e por que não existe certificação acreditada da 27017 apesar do que o mercado anuncia. A aula fecha com um roteiro de implementação e os artefatos que uma auditoria pede.
Principais tópicos
1. O que é a ISO/IEC 27017
O que a norma entrega e o que ela não é. As duas coisas que ela faz no mesmo documento: orientação de nuvem para controles que já existem e controles próprios. Como ela se encaixa na família 27000. Papéis de cliente, usuário, provedor e parceiro de nuvem. Responsabilidade compartilhada, modelos de serviço e modelos de implantação.
2. De 2015 a 2026
Por que a norma ficou quatro anos desalinhada da ISO/IEC 27002:2022 e o que a ISO declara ter mudado: título, escopo, estrutura e controles mesclados, removidos e criados.
3. A anatomia da norma
A estrutura cláusula por cláusula. Como os 97 controles se distribuem pelos quatro temas. Como ler um controle e o que separa orientação de contexto. Os quatro controles que só existem em nuvem. Detalhamento dos 43 controles com conteúdo de nuvem, com o que cabe ao cliente e o que cabe ao provedor.
4. As mudanças, controle a controle
De sete controles CLD para quatro, com o mapa de para onde cada tema migrou. Os assuntos que não existiam em 2015, como uso não autorizado de nuvem, cadeia de parceiros e pedidos de investigação de autoridades. Os dois anexos e o que fazer com uma Declaração de Aplicabilidade já escrita na numeração antiga.
5. A norma no SGSI e a certificação
A diferença entre requisito e diretriz. Onde a 27017 entra no ciclo do SGSI e como ela aparece na Declaração de Aplicabilidade. A cadeia de acreditação, do IAF ao certificado. Por que a 27017 fica fora dela, o que o mercado chama de certificação 27017 e um checklist para avaliar o certificado de um provedor.
6. Como implementar
Roteiro em sete passos, do inventário de serviços de nuvem à auditoria. Os artefatos que a auditoria pede e as cinco armadilhas que mais reprovam.
