ISO 27018

ISO/IEC 27018 ist ein internationaler Standard für den Schutz personenbezogener Daten (PII) in der Cloud, der auf der ISO 27002 aufbaut und sich speziell an Cloud-Anbieter richtet, die als Auftragsverarbeiter agieren. Er bietet Leitlinien und Kontrollen, um sicherzustellen, dass Cloud-Anbieter Kundendaten verantwortungsvoll verwalten, Transparenz gewährleisten und Kundenrechte wie Auskunft und Löschung wahren. Die Norm hilft Anbietern, gesetzliche Anforderungen zu erfüllen und Kunden Vertrauen zu geben, indem sie Mechanismen für Compliance und Audits bereitstellt, was sie zu einer Erweiterung der ISO 27001 macht.

Hauptziele und Inhalte
Schutz personenbezogener Daten (PII): Fokus auf personenbezogene Daten in öffentlichen Cloud-Diensten.
Transparenz: Kunden sollen wissen, wie ihre Daten verwendet werden.
Kundenkontrolle: Ermöglicht Kunden, ihre Daten zu verwalten (z. B. Auskunft, Löschung).
Erweiterung der ISO 27001/27002: Bietet zusätzliche Kontrollen für die Cloud-Umgebung.
Rechtskonformität: Hilft Cloud-Providern, Pflichten aus Datenschutzgesetzen (wie der DSGVO) zu erfüllen.
Vertragliche Vereinbarungen: Unterstützt die Formulierung von Verträgen zwischen Cloud-Anbietern und Kunden.

Für wen ist die Norm relevant?
Anbieter von Cloud-Diensten (Public Cloud), die personenbezogene Daten verarbeiten.
Unternehmen, die ihre ISO 27001 Zertifizierung um einen starken Datenschutzaspekt ergänzen wollen.

Umsetzung und Zertifizierung
Organisationen müssen ihre bestehenden Sicherheitsprozesse bewerten und Lücken schließen.
Eine Zertifizierung erfordert eine Prüfung durch unabhängige Auditoren und wird oft zusammen mit ISO 27017 durchgeführt.
Große Anbieter wie Google Cloud sind nach ISO 27018 zertifiziert.