SS 584 (también conocido como Multi-Tier Cloud Security ( MTCS )) es un estándar de seguridad de la información , publicado por Singapore Standards . [1] El estándar fue revisado por última vez en 2020.
La norma SS 584 especifica un sistema de gestión de la seguridad en la nube en tres niveles. Las organizaciones que cumplen los requisitos pueden obtener la certificación de un organismo de certificación acreditado tras completar con éxito una auditoría .
Aunque la mayoría de los proveedores de servicios en la nube están certificados según la norma ISO 27000 , la norma ISO no se centra en los riesgos específicos que surgen del aprovisionamiento a través de la nube. Los clientes más pequeños también tienen dificultades para evaluar si el SGSI de un CSP es suficiente para sus necesidades, ya que la norma ISO 27001 se basa en el riesgo y puede variar significativamente entre implementaciones. Esto puede ser una barrera para la adopción por parte de las pymes , que desearían una forma más sencilla de decidir si un CSP satisface sus necesidades.
Para fomentar la adopción de servicios en la nube, la entonces IDA creó en 2012 una serie de grupos para elaborar un estándar que los CSP pudieran certificar. El estándar tendría múltiples niveles de garantía de seguridad: [2]
Tenga en cuenta que el estándar utiliza indistintamente los términos "niveles" y "niveles".
La SS584:2013 se emitió en 2013 y el programa fue administrado inicialmente por IDA. [3]
En 2015, se revisó la norma (SS 584:2015). En ese momento, la acreditación pasó a manos del Consejo de Acreditación de Singapur, una división de Enterprise Singapore , de acuerdo con otras normas de Singapur.
A finales de 2019, la norma se está revisando nuevamente, con aportes de la industria, y se emitirá una nueva versión en octubre de 2020.
Los CSP que deseen certificar sus servicios deben clasificarlos en IaaS , PaaS o SaaS . También deciden en qué nivel desean demostrar el cumplimiento (nivel 1, 2 o 3).
Para cumplir con el Nivel 3, el CSP debe estar certificado según ISO/IEC 27001 .
Los proveedores de servicios de comunicaciones deben obtener los servicios de un organismo de certificación acreditado, que auditará el sistema de gestión del proveedor de servicios de comunicaciones para comprobar su conformidad con la norma SS 584. El organismo de certificación emitirá entonces un certificado que lo acredite, normalmente válido durante tres años. Se requieren auditorías de seguimiento anuales.
Está disponible una lista de servicios y CSP certificados. [4] Algunos ejemplos de CSP certificados incluyen IBM [5] y AWS . [6]
Aunque la norma no es una norma internacional , al ser la primera norma nacional que aborda la seguridad en la nube, ha tenido aceptación fuera de Singapur. En particular, las regulaciones coreanas de RSEFT reconocen que la SS 584 cumple con la mayoría de los requisitos para los CSP. [7]
Los documentos de Datamation [8] y CloudwatchHUB [9] describen el uso internacional y el impacto de este estándar.