راهنمای حسابرسی ابری بر پایه کاتالوگ C5
کاتالوگ معیارهای انطباق رایانش ابری (C5) دفتر فدرال امنیت اطلاعات آلمان، در قالبی فارسی، قابل جستجو و قابل پیگیری برای ممیزی خدمات ابری. معیارها را مرور کنید، شواهد را علامت بزنید و پیشرفت ممیزی را نگه دارید.
راهنمای نشانه‌ها
هر معیار می‌تواند شامل سه نوع زیرمعیار باشد؛ درک تفاوت آن‌ها برای برنامه‌ریزی ممیزی ضروری است.
پایه Basic
الزام اصلی که ارائه‌دهنده باید آن را رعایت و مستند کند. پایه ارزیابی هر معیار است.
تشدید Additional Sharpen
الزامی که یک زیرمعیار پایه را دقیق‌تر یا سخت‌گیرانه‌تر می‌کند و به آن ارجاع دارد.
تکمیل Additional Complement
الزام افزوده که در کنار زیرمعیارهای پایه، دامنه کنترل را کامل می‌کند.
دامنه‌های C5
هجده دامنه کنترلی؛ روی هر دامنه بزنید تا معیارها و زیرمعیارها را ببینید.
راهنمای گام‌به‌گام ممیزی با C5
این صفحه، چارچوب عملی استفاده از کاتالوگ C5 در یک مأموریت ممیزی را توضیح می‌دهد: از تعیین دامنه تا گزارش. متن معیارها به‌صورت اصلی (انگلیسی) در صفحات دامنه‌ها آمده است؛ این راهنما تفسیر روش‌شناختی است، نه بازنویسی استاندارد.
۱. C5 در یک نگاه
ساختار
18 دامنه، 174 معیار اصلی و 623 زیرمعیار، به‌همراه ۶ شرط شفافیت در دامنه GC.
سه نوع زیرمعیار
پایه (B) الزام اصلی؛ تشدید (AS) سخت‌گیرانه‌ترکردن یک پایه؛ تکمیل (AC) افزودن کنترل مکمل. برای هر سه، شواهد مستقل لازم است.
دامنه GC
شرط‌های شفافیت درباره اطلاعات قراردادی و عمومی؛ به‌جای کنترل فنی، «شفافیت و قابلیت راستی‌آزمایی» را می‌سنجد.
۲. هفت گام مأموریت
ترتیب گام‌ها را حفظ کنید؛ بیشتر شکست‌های ممیزی از پرش به «آزمون» پیش از «تعیین دامنه» می‌آید.
تعیین دامنه و مرز ممیزی
خدمت ابری، محل‌های استقرار، مؤلفه‌های داخلی/برون‌سپاری و مرز مسئولیت ارائه‌دهنده را مکتوب کنید. در C5، شفافیت دامنه خودش بخشی از ارزیابی است (به‌ویژه GC).
سطح‌بندی معیارها بر اساس ریسک
همه معیارها وزن یکسان ندارند. با ترکیب ارزش داده، مواجهه و وابستگی، معیارهای پرریسک را اولویت دهید؛ اما «پایه»ها را حذف نکنید.
تعیین نوع مأموریت
ارزیابی طراحی کنترل‌ها (نوع ۱) برای غربالگری، یا ارزیابی اثربخشی در یک بازه (نوع ۲) برای اتکا در قرارداد. خروجی و عمق شواهد متفاوت است.
برنامه‌ریزی شواهد برای هر زیرمعیار
برای هر زیرمعیار، شاهد، منبع، روش آزمون و معیار پذیرش را از پیش تعیین کنید. سه دسته شاهد: مستندات، پیکربندی/فنی، و مصاحبه/مشاهده.
جمع‌آوری و ارزیابی شواهد
شواهد را خودتان از منبع اصلی بگیرید؛ به خلاصه‌های خوداظهاری اتکا نکنید. برای هر شاهد، صحت، کفایت و زمان‌مندی را ثبت کنید.
درجه‌بندی یافته‌ها
هر یافته را با ساختار «شرایط / معیار / علت / اثر / توصیه» ثبت کنید و شدت (بحرانی، بالا، متوسط، پایین) بدهید. یافته بدون معیار C5، قابل دفاع نیست.
گزارش و پیگیری
گزارش باید دامنه، معیارهای به‌کاررفته، روش، شواهد، یافته‌ها و محدودیت‌ها را روشن کند. یافته‌های باز را در دوره بعد پیگیری کنید.
۳. نقشه شواهد پیشنهادی
| خانواده معیار | شاهدهای معمول | نکته آزمون |
|---|---|---|
| حاکمیت و سیاست (OIS, SP, COM) | خط‌مشی مصوب، سوابق بازنگری، صورت‌جلسه مدیریت، برنامه حسابرسی | تصویب و نسخه معتبر را بررسی کنید، نه فقط وجود سند |
| هویت و دسترسی (IAM, PSS) | سیاست دسترسی، فهرست نقش‌ها، گزارش ورود، پیکربندی MFA، بازنگری دوره‌ای | نمونه‌گیری از دسترسی ممتاز و حساب‌های خدمت |
| رمزنگاری (CRY) | پیکربندی TLS، رمزنگاری داده در سکون، سیاست و سوابق چرخش کلید | کلید مشتری‌مدیریت‌شده را جدا بررسی کنید |
| شبکه (COS) | توپولوژی، قواعد اتصال، جداسازی ترافیک، شبکه مدیریت | قواعد «همه‌چیز باز» را هدف بگیرید |
| عملیات (OPS) | پشتیبان‌گیری و آزمون بازیابی، لاگ/SIEM، اسکن آسیب‌پذیری، سخت‌سازی، آزمون نفوذ | اثربخشی را با نمونه رویداد سنجید |
| تداوم (BCM) | BIA، برنامه تداوم، گزارش آزمون | RTO/RPO را با قرارداد تطبیق دهید |
| توسعه و تغییر (DEV) | سوابق تغییر، آزمون، کنترل نسخه، جداسازی محیط | نمونه تغییرهای اضطراری را بررسی کنید |
| فیزیکی (PS) | کنترل ورود، افزونگی، برق اضطراری، پایش محیطی | در ابر، معمولاً بر گزارش مرکز داده اتکا می‌شود |
| شفافیت (GC) | مستندات عمومی، SLA، فهرست مکان‌ها، گواهی‌ها | تطابق ادعا با قرارداد و واقعیت خدمت |
۴. اشتباه‌های رایج
اتکا به خوداظهاری
پرسش‌نامه پرشده شاهد نیست. شاهد، خروجی مستقیم از سامانه یا سند معتبر است.
نادیده‌گرفتن تشدیدها
زیرمعیارهای AS معمولاً سخت‌ترین بخش‌اند؛ اگر فقط پایه‌ها را بسنجید، ارزیابی ناقص است.
مرز نامشخص
بدون تعریف مرز، یافته‌ها به طرف اشتباه نسبت داده می‌شوند و گزارش غیرقابل استناد می‌شود.
چک‌لیست ممیزی C5
همه آیتم‌های قابل بررسی (زیرمعیارها و شرط‌های شفافیت). علامت‌ها در همین مرورگر ذخیره می‌شوند.
جستجو در معیارهای C5
در نام معیارها، متن زیرمعیارها، یادداشت‌های تفسیری و راهنماها جستجو می‌کند.
درباره داده‌ها و این سایت
شفافیت درباره منبع، نسخه، مجوز و روش تولید.
منبع رسمی
BSI — Federal Office for Information Security (آلمان)
کاتالوگ C5 1.0.1؛ آخرین ردیف تاریخچه: 1.0.0 در 07.04.2026.
مجوز
CC BY-ND 4.0 — بازنشر با ذکر منبع مجاز است؛ نسخه مشتق تغییر‌یافته مجاز نیست.
دامنه داده
18 دامنه، 174 معیار، 623 زیرمعیار (B=462، AS=29، AC=132) و 6 شرط شفافیت.
روش تولید
داده‌ها مستقیماً از فایل‌های YAML نسخه C5 استخراج شده‌اند (۱۸ فایل دامنه + فایل نسخه/مجوز). متن معیارها و زیرمعیارها بدون تغییر محتوایی نمایش داده می‌شود؛ تنها فاصله‌گذاری سطرها برای خوانایی وب نرمال‌سازی شده است. برچسب‌های فارسی دامنه‌ها و «راهنمای ممیز» متن‌های توضیحی این سایت‌اند و بخشی از استاندارد نیستند.
تاریخچه نسخه
| نسخه | تاریخ | توضیح |
|---|---|---|
| 1.0.0 | 07.04.2026 | Initial Publication |
ساختار فایل‌های داده
فایل‌های منبع: AM, BCM, COM, COS, CRY, DEV, GC, HR, IAM, INQ, OIS, OPS, PI, PS, PSS, SIM, SP, SSO (YAML) به‌همراه version_and_license.yml.
شناسه‌های نمایش‌داده‌شده به شکل DOMAIN-CRITERION-SUB هستند (نمونه: IAM-06-02B)؛ بخش 06 شناسه معیار و 02B شناسه محلی زیرمعیار در فایل YAML است. برای دامنه GC، شناسه‌ها همان GC-01 تا GC-06 هستند.