BSI C5.
Разберете каталога с критерии за облачни услуги, изберете подходящия вид доклад и изяснете отговорностите на доставчика и клиента.
- BSI C5:2026 · C5:2020 в преходния период
- От Jonathan Bezdek
- Актуално към: 22.10.2026 г.
- Време за четене: 7 мин.
Кратък отговор.
BSI C5 е каталог с критерии за информационната сигурност на облачни услуги. Независим финансов одитор проверява описаната услуга и издава одиторско заключение с доклад. C5:2026 разграничава заключенията към определена дата от допълнителната проверка на оперативната ефективност за период. Клиентите сами оценяват доклада и оставащите си задачи за сигурност; BSI не издава сертификат.
BSI C5 и каталогът с критерии за облачна сигурност.
BSI C5 създава обща основа за проверка и оценка на ангажиментите за сигурност на облачна услуга. Пълното наименование е Cloud Computing Compliance Criteria Catalogue. BSI публикува каталога; доставчикът възлага проверката на финансов одитор. Въвеждащата страница на BSI изрично разграничава тези роли: органът не избира одиторите и не оценява отделните доклади.
Публикуваната версия е C5:2026. C5:2020 остава относим за определени проверки през преходния период. Затова изданието, видът на доклада и времевите граници трябва заедно да се уточнят при възлагането. Твърдение като „проверено по C5“ оставя неясно коя услуга при какви условия е проверена; то не е достатъчно за решение за възлагане.
C5:2026, раздел 3.5, предвижда новото издание за референтни дати по тип 1 от 1 юни 2027 г. и периоди на проверка по тип 2, които започват от тази дата; по-ранно прилагане е възможно. Периоди по тип 2, започнали по-рано и преминаващи тази дата, следва още да се проверяват единно по C5:2020. За периоди, завършващи от 28 февруари 2027 г., вече се предвиждат допълнителни данни за планирани промени в контролите. Съгласувайте конкретната преходна ситуация с одитора.
За кого е относимо одиторско заключение по C5.
Доставчиците на облачни услуги използват C5, за да направят работата по сигурността на определена услуга проследима за клиентите си. Клиенти и екипи по снабдяването получават информация за собствената си оценка на риска. Докладът може да се отнася до инфраструктура, платформи или софтуер; определящ е действителният му обхват. Според често задаваните въпроси на BSI заключението важи за проверените услуги и региони, а не общо за всички предложения на група предприятия.
Дали се изисква одиторско заключение по C5 зависи от конкретното използване и неговите изисквания. Проверете отделно клиентските договори, условията за възлагане и приложимите секторни правила. Освен това наличен доклад не отговаря автоматично дали услуга е подходяща за информация с особена потребност от защита. Въвеждащата страница на BSI възлага на клиента оценката на неговите изисквания и остатъчни рискове.
Каква работа обединява каталогът с критерии C5.
C5 разглежда организацията на сигурността на облачната услуга, условията на експлоатация и разпределението на задачите. Следните шест работни области са практическа ориентация за подготовката; те не заместват нито критериите от глава 5, нито съгласуваното планиране на проверката.
Утвърждаване на отговорността в услугата.
Възложете решенията, оперативните задачи и проверките на компетентните лица. Организационното описание трябва да показва кой има право да действа при отклонение и кой проследява отстраняването му. Така се избягва допускането, че само координиращата функция по сигурността поема всички оперативни задачи.
Определяне на услугата и зависимостите.
Опишете кои услуги, региони и поддържащи доставчици са обхванати от заключението. Техническа зависимост може да е съществена за сигурността дори когато е договорно възложена навън. Документирайте проследимо какви гаранции получавате от други и кои задачи остават във Вашата оперативна дейност.
Защита на достъпа и информацията.
Разгледайте работата с клиентска информация по протежение на действителната услуга. Практическият преглед включва потребителските и административните пътища и отговорността за конфигурацията и правата. Проверете и предаването между доставчик и клиент; сигурно управляваната основа сама не отговаря на въпросите за клиентската конфигурация.
Проследимост на експлоатацията и промените.
Свържете установените процедури със записи от прилагането им. Промяна в услугата може да засяга други доказателства и отговорници от непроменен период на експлоатация. Затова за подготовката е полезно относимите промени да се разположат във времето и да се поддържат подходящи документи, вместо да се показва само днешното състояние.
Готовност за смущения.
Изяснете отговорностите за инциденти, комуникация и възобновяване. Практическо учение може да покаже дали предаването и ескалациите работят. Обозначавайте ученията като такива и пазете резултатите; измислени събития не бива да се представят като исторически оперативни доказателства. Подробната организация на доказателствата остава тема на съществуващата статия за C5.
Прозрачност за клиентите.
C5:2026, глава 4, описва общите условия, от които клиентите се нуждаят за оценката си. Представете обхвата на проверката и оставащите клиентски задачи така, че читателите да могат да оценят собствената си употреба. Общо твърдение за сигурност помага по-малко от разбираемо описание на конкретната граница на отговорностите и възможните ограничения.
Пътят към одиторско заключение по C5.
Изяснете потребността от доказване.
Като практическо начало установете кои клиенти очакват доклад за коя услуга и кое издание, вид доклад и времеви граници са подходящи.
Опишете обхвата на проверката.
Определете услугите, регионите, участващите организации и зависимостите така, че предвиденият одитор да може да оцени възлагането и неговите интерфейси.
Подгответе функционирането на контролите.
Изяснете приложимите критерии и отговорности с компетентните екипи и съгласувайте очакваните доказателства преди началото на предвидения период на разглеждане.
Съхранявайте оперативните записи.
Пазете проследими доказателства за договорените времеви граници и документирайте промените и откритите отклонения с действителното им развитие.
Възложете независима проверка.
Ангажирайте подходящ финансов одитор и обяснете наличните документи, без да представяте по-късни подобрения като по-ранно състояние на контролите.
Оценете доклада и осигурете продължаване.
От клиентска гледна точка проверете заедно заключението, обхвата, периода и ограниченията и договорете бъдещото покритие с доказателства за текущата употреба.
Какво доказва одиторското заключение по C5.
Одиторското заключение по C5 съдържа резултата от независима проверка на описаната облачна услуга. Съгласно C5:2026, раздел 3.4.4, тип 1 разглежда проектирането и въвеждането към определена дата; тип 2 допълнително включва оперативната ефективност през период. Затова доклад към конкретна дата отговаря на различен въпрос от доклад за текущата експлоатация.
Тип 2 не изисква предходен доклад по тип 1. C5:2026, раздел 3.4.11, предвижда тип 1 само за първоначална проверка. Коя проверка е подходяща зависи от възлагането, изходното състояние и потребността от доказване. Проверявайте пълния доклад и ограниченията му заедно с описанието на системата; титулна страница или презентация на доставчика не може да замести тази оценка.
Одиторското заключение по C5 няма общ срок на валидност по образец на сертификат. То се отнася до посочената дата или период. Често задаваните въпроси на BSI поясняват, че по-стар доклад може да загуби информативност за днешната оценка на риска. Затова нови региони, съществени промени в услугата или липсващо времево покритие с доказателства трябва да участват в текущото решение на клиента.
Мястото на другите рамки.
ISO 27001 се отнася до система за управление на информационната сигурност и възможното ѝ сертифициране. SOC 2 е самостоятелна система за докладване с други критерии и условия на възлагане. ОРЗД създава законови задължения при лични данни; одиторско заключение по C5 не замества проверката им и задачите на администратора.
В Secani.
Secani предлага редакционно помощно средство за работа по BSI C5:2026. Данните в профила включват наред с друго доставчик на облачни услуги, облачен клиент, допълнителни критерии, разглеждане по тип 2 и поддоставчици. Каталогът подпомага структурираната работа; той не е официален превод или одиторско заключение. Експертната оценка и независимото решение от проверката остават отделни задачи.
Започнете с ясно определена облачна услуга.
Изберете конкретно назована услуга и документирайте клиентската потребност. Опишете региона, отговорностите и съществените зависимости. След това изяснете с предвидения одитор кое издание и кой вид доклад са необходими за това заключение. Така възниква надеждна основа за следващата подготовка.
Често задавани въпроси.
Не. BSI публикува каталога с критерии; ангажиран финансов одитор изготвя доклада от проверката и одиторското заключение. При това не се издава сертификат от BSI.
Тип 1 разглежда проектирането и въвеждането към определена дата. Тип 2 допълнително проверява оперативната ефективност през посочения период; за това не е необходим предходен доклад по тип 1.
Не може да се посочи общ срок. Докладът се отнася до своята дата или период; клиентите трябва да преценят дали съответства на текущото използване, промените и необходимото покритие с доказателства.
Не. Клиентите трябва да продължат да оценяват и изпълняват задачите и рисковете, оставащи в собствената им отговорност. Това включва съпоставяне на действителния обхват на доклада със собственото използване.
Определете облачната услуга.
Обсъдете как можете да работите с редакционния каталог C5 в Secani.
Тази страница представя C5 на общо ниво и не замества оригиналния каталог или експертна проверка. Определящи са договореното издание, конкретното възлагане на проверката и приложимите изисквания.