ISO/IEC 27017 是针对云服务信息安全的国际标准，基于 ISO/IEC 27001（信息安全管理体系）和 ISO/IEC 27002（安全控制实践），专门补充了云服务特有的安全控制要求，旨在规范云服务提供商（CSP）与云服务客户（CSC）的安全责任划分，保障云环境中的数据和服务安全。

主要适用于云服务提供商（CSP）：如 AWS、阿里云、微软 Azure 等，规范其服务设计、运营的安全责任。
云服务客户（CSC）：使用云服务的组织（如企业、政府），指导其选择、使用云服务时的安全管理。

必备条件：
   基础前提： 已通过 ISO 27001 认证，且体系覆盖云服务范围（IaaS/PaaS/SaaS）。
   核心控制落地： 落实 14 项云专属措施，重点包括多租户隔离、数据驻留合规、服务终止数据处理、责任划分（合同明确 CSP 与 CSC 分工）。
   文档与运行：  有云服务安全策略、供应商管理程序等文件；体系至少运行 3 个月，完成内部审核和管理评审。
   合规要求：  符合数据保护、跨境传输等法规，责任划分清晰可追溯。

资料清单：
   基础资料：ISO 27001 认证证书、云服务业务范围说明（明确 IaaS/PaaS/SaaS 类型）。
      云服务专项文件：
      ·    云服务安全策略、责任划分协议（CSP 与 CSC 权责合同）；
         ·    多租户隔离、数据驻留 / 跨境、服务终止数据处理等控制措施文档。
   运行记录： 云环境监控日志、客户数据处理记录、安全事件响应记录。
   审核资料： 云服务相关内部审核报告（含整改记录）、管理评审报告。

服务流程：
           前期准备；
           体系扩展设计；
           文件编制；
           实施与运行；
           内部审核与评审；
           认证审核；

预计完成时间：
  通常在 3-6 个月左右，具体时间会因企业规模、管理基础以及认证机构的安排等因素有所不同。管理基础好、规模小的企业可能 3 个月左右完成认证，而规模较大、信息系统复杂的企业，可能需要 6 个月甚至更长时间。


证书样本：