- Inicio
- Quiénes somos
-
Servicios
- ITSE 2.0
- BI+DATA+IA
- Desarrollo de Software
- Portal Colaborativo
- Mesa inteligente GLPI
- Servicios de Nube
- Seguridad
- Aplicaciones Empresariales
- Licenciamiento Microsoft
- Soluciones
- Micrositio AWS
- Micrositio Docucheck
- Webinars
- Blogs
- Casos de éxito
- Contacto
- Inicio
- Quiénes somos
-
Servicios
- ITSE 2.0
- BI+DATA+IA
- Desarrollo de Software
- Portal Colaborativo
- Mesa inteligente GLPI
- Servicios de Nube
- Seguridad
- Aplicaciones Empresariales
- Licenciamiento Microsoft
- Soluciones
- Micrositio AWS
- Micrositio Docucheck
- Webinars
- Blogs
- Casos de éxito
- Contacto
Introducción:
¿Qué es ISO/IEC 27017?
ISO/IEC 27017 es un código de buenas prácticas de seguridad de la información específico para servicios en la nube (cloud computing).
No es una norma independiente de gestión, sino una extensión de ISO/IEC 27001, diseñada para cubrir escenarios propios del cloud como:
¿Por qué ISO 27017 es crítica en entornos cloud?
A diferencia de los centros de datos tradicionales, en la nube:
La infraestructura no es completamente visible
Los recursos se comparten entre múltiples clientes
Las responsabilidades se distribuyen
Los errores de configuración son una de las principales causas de incidentes
ISO 27017 aborda estos retos con controles claros y responsabilidades explícitas, reduciendo riesgos operativos y legales.
Relación entre ISO 27001, ISO 27017 e ISO 27018
ISO 27017 no reemplaza otras normas, las complementa.
ISO 27017: seguridad específica para la nube
![]()
Agrega controles enfocados en:
- Cloud computing
- Responsabilidad compartida
- Infraestructura virtual
ISO 27001: la base del sistema de gestión
![]()
Define el Sistema de Gestión de Seguridad de la Información (SGSI) y el enfoque de gestión de riesgos.
ISO 27018: protección de datos personales en la nube
![]()
Se enfoca en privacidad y protección de datos personales en entornos cloud.
📌 Juntas forman un marco sólido de seguridad cloud, altamente citado en contenidos técnicos.
¿A quién aplica ISO/IEC 27017?
ISO 27017 aplica tanto a proveedores como a consumidores de servicios en la nube.


El modelo de responsabilidad compartida en la nube
Uno de los pilares de ISO 27017 es definir claramente quién es responsable de qué.
Es el principio que establece que la seguridad en la nube no recae en una sola parte, sino que se distribuye entre proveedor y cliente.
![]()
| Elemento | Proveedor Cloud | Cliente |
|---|---|---|
Infraestructura física |
✔
|
❌
|
Virtualización |
✔
|
❌
|
Configuración de servicios |
❌
|
✔
|
Gestión de accesos |
❌
|
✔
|
Protección de datos |
❌
|
✔
|
ISO 27017 exige que esta distribución esté documentada, comunicada y auditada.
Controles adicionales introducidos por ISO 27017
ISO 27017 agrega controles específicos a los definidos en ISO 27001.
Gestión de activos en la nube
- Identificación de activos virtuales
- Ubicación de datos
- Eliminación segura de información
Seguridad en entornos multi-tenant
- Separación lógica entre clientes
- Prevención de accesos no autorizados
- Controles de aislamiento
Administración segura de servicios cloud
- Accesos privilegiados
- Registro y monitoreo
- Gestión de cambios
Configuración segura de servicios
- Hardening cloud
- Configuraciones base
- Prevención de errores comunes
¿ISO 27017 se certifica?
ISO 27017 no se certifica de forma independiente
Se implementa como extensión de ISO 27001
Guía completa de Gobierno de Datos en Azure Synapse
La certificación es ISO 27001 con alcance cloud + ISO 27017
ISO 27017 y plataformas cloud (AWS, Azure, GCP)
ISO 27017 es agnóstica al proveedor, pero se alinea con:
- AWS Shared Responsibility Model
- Azure Security & Compliance
- Google Cloud Security Framework
Esto la hace altamente relevante para:
- Arquitectos cloud
- DevOps
- Equipos de seguridad

Control de incidentes
No se trata solo de “resolver rápido”. Se trata de:
-
detectar temprano
-
contener el impacto
-
restaurar el servicio
-
documentar el incidente
-
eliminar la causa raíz cuando sea posible
Cambios con trazabilidad
Cada ajuste debe ser controlado:
-
qué se cambió
-
por qué se cambió
-
quién lo aprobó
-
cómo se validó
-
cómo se revierte si sale mal
Visibilidad real de producción
Sin visibilidad, solo hay suposiciones. Necesitas claridad sobre:
-
salud de servicios
-
comportamiento ante carga
-
errores por componente
-
tiempos de respuesta
-
puntos de falla recurrentes
Evolución sin poner en riesgo la estabilidad
Deben evolucionar con:
-
mantenimiento preventivo
-
correcciones controladas
-
mejora técnica gradual
-
prioridades alineadas al negoc
el negocio depende de tu aplicación y no puede detenerse
hay incidentes frecuentes o repetitivos
los despliegues generan ansiedad
no hay control claro de cambios
el equipo interno está saturado con operación
hay presión por estabilidad sin presupuesto para crecer equipo
Tu aplicación no necesita “otra nube”. Necesita control operativo.
Agenda una revisión para identificar por qué falla y qué acciones tienen mayor impacto.
Sección de preguntas y respuestas:
-
¿Por qué fallan las aplicaciones en la nube?
La mayoría de las fallas no se deben a Azure o AWS, sino a una operación reactiva, falta de monitoreo y ausencia de procesos claros.
-
¿Cómo ayuda C&A Systems a estabilizar aplicaciones?
C&A Systems aplica un modelo operativo estructurado que permite controlar incidentes, cambios y continuidad de aplicaciones críticas.
-
¿Este enfoque aplica solo a aplicaciones en la nube?
No. Aplica tanto a aplicaciones en Azure y AWS como a entornos híbridos o sistemas empresariales existentes.
-
¿Qué tipo de empresas necesitan este tipo de operación?
Organizaciones donde la aplicación es crítica para la operación y no puede fallar sin afectar al negocio.
-
¿Por qué una aplicación falla aunque esté en Azure o AWS?
Porque la mayoría de las fallas no se originan en la nube, sino en una operación reactiva, sin monitoreo continuo, control de cambios ni procesos claros.
-
¿Cuáles son las causas más comunes de fallas en aplicaciones empresariales?
Las causas más frecuentes son incidentes mal gestionados, cambios sin trazabilidad, falta de visibilidad en producción y dependencia de personas clave.
-
¿Cómo saber si el problema es la operación y no la infraestructura?
Si las fallas se repiten, los errores regresan después de “arreglarse” y no hay claridad sobre qué cambió, el problema suele ser operativo.
-
¿Qué tipo de aplicaciones necesitan un modelo de operación estructurado?
Aplicaciones críticas para el negocio, que no pueden detenerse sin afectar operaciones, ingresos o experiencia del cliente.
