کاتالوگ معیارهای امنیت ابری BSI و زبان مشترک ارائه‌دهنده، مشتری و ممیز.
کاتالوگ معیارهای امنیت ابری BSI؛ چارچوبی برای طراحی، اجرا و حسابرسی کنترل‌های ارائه‌دهندهٔ خدمات ابری.
۱۷ حوزهٔ امنیتی و ۶ معیار عمومی؛ از هویت و رمزنگاری تا عملیات، زنجیرهٔ تأمین و پاسخ به رخداد.
ممیز مستقل طراحی و استقرار (نوع ۱) یا اثربخشی اجرا در یک دوره (نوع ۲) را بر پایهٔ ISAE 3000 ارزیابی می‌کند.
گزارش attestation با دامنهٔ مشخص؛ مبنای ارزیابی مشتری، مقایسهٔ ارائه‌دهندگان و پاسخ به نیاز رگولاتور.
پایه، تشدید و تکمیلی سه سطح بلوغ نیستند؛ دو رابطهٔ متفاوت با معیار پایه دارند.
حداقل الزامی. همیشه در دامنه است؛ بدون پوشش کامل پایه‌ها، گزارش C5 معتبر نیست.
سخت‌گیرانه‌تر. نسخهٔ شدیدتر همان الزام؛ اگر در دامنه باشد، جایگزین پایهٔ متناظر می‌شود.
الزام جدید. خارج از متن پایه؛ اگر در دامنه باشد، علاوه بر پایه بررسی می‌شود.
هیچ‌کس به‌تنهایی؛ چهار نقش، چهار تصمیم متفاوت.
تعیین می‌کند چه چیزی پایه، تشدید یا تکمیلی است.
بر اساس ارزیابی خدمت، ریسک و مشتریان هدف، AS/AC منتخب را وارد گزارش می‌کند.
سطح حفاظت خود را تعیین می‌کند؛ اگر پایه کافی نیست، AS/AC را مطالبه می‌کند.
دامنهٔ توافق‌شده را مستقل می‌آزماید و دربارهٔ آن اظهارنظر می‌کند.
C5 یک کاتالوگ معیار است؛ خروجی، attestation یا اظهارنظر مستقل حسابرس است.
| گواهینامه | C5 attestation | |
|---|---|---|
| صادرکننده | نهاد صدور | حسابرس مستقل |
| طرفین | سه‌طرفه | دوطرفه: ارائه‌دهنده + ممیز |
| پوشش | سازمان یا محصول | سرویس + دامنهٔ مشخص |
| تأیید بالادستی | دارد | ندارد؛ BSI گزارش را بررسی نمی‌کند |
| لوگوی رسمی | معمولاً دارد | ندارد |
نوع ۱ عکس لحظه‌ای از طراحی است؛ نوع ۲ فیلم دورهٔ اجرا.
| نوع ۱ | نوع ۲ | |
|---|---|---|
| چه چیزی | طراحی + استقرار | طراحی + اثربخشی اجرا |
| زمان | یک مقطع مشخص | دورهٔ گذشته |
| شواهد | سیاست، پیکربندی، نمونهٔ محدود | نمونه در طول دوره، لاگ، تیکت |
| پیام | «هست و درست چیده شده» | «واقعاً کار کرده است» |
گزارش C5 را مثل بروشور نخوانید؛ این پنج چیز را مشخص کنید.
Type 1 یا Type 2؛ عمق اطمینان را تعیین می‌کند.
یک مقطع، یا بازهٔ ۶ تا ۱۲ ماه.
کدام سرویس‌ها و کدام مناطق.
همهٔ B؟ کدام AS/AC وارد دامنه شده‌اند؟
استثناها، علت و اقدام اصلاحی.