Βεβαίωση C5: προετοιμάστε τα τεκμήρια διασφάλισης υπηρεσιών νέφους

Ένας πελάτης υπηρεσιών νέφους θέλει να γνωρίζει ποιες προστασίες λειτουργεί ο πάροχος και ποιες παραμένουν δική του ευθύνη. Η Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας (BSI) δημοσιεύει το Cloud Computing Compliance Criteria Catalogue, C5, ως δομημένη βάση για την εξέταση αυτής της διασφάλισης. Για έναν CTO, η προετοιμασία σημαίνει να γίνουν ελέγξιμα το όριο της υπηρεσίας, η υλοποίηση των δικλίδων και τα λειτουργικά αρχεία, όχι απλώς η συγκέντρωση πολιτικών.

Το C5 είναι ένας κατάλογος κριτηρίων που χρησιμοποιείται για ανεξάρτητη βεβαίωση, όχι πιστοποίηση τύπου ISO. Η τεκμηρίωση του BSI για το C5 είναι η κύρια πηγή αναφοράς. Ξεκινήστε συμφωνώντας με τον ανεξάρτητο ελεγκτή την εφαρμοστέα έκδοση, τον στόχο διασφάλισης και το πεδίο της εξέτασης.

Ορίστε ακριβώς ποια υπηρεσία θα καλύπτει η έκθεση

Περιγράψτε την υπηρεσία νέφους, τις τοποθεσίες λειτουργίας, τα οργανωτικά όρια και τις εξαρτήσεις. Μια έκθεση που καλύπτει μία υπηρεσία δεν καλύπτει αυτόματα κάθε προϊόν με το ίδιο εμπορικό σήμα. Προσδιορίστε τα στοιχεία παραγωγής, τις διεπαφές διαχείρισης, τις λειτουργίες υποστήριξης και τις εξωτερικές υπηρεσίες που μπορούν να επηρεάσουν τους ισχυρισμούς διασφάλισης.

Η περιγραφή του συστήματος πρέπει να επιτρέπει σε έναν τρίτο να κατανοήσει πώς τα δεδομένα των πελατών εισέρχονται, κινούνται μέσα στην υπηρεσία και εξέρχονται από αυτήν. Συμπεριλάβετε διαδρομές διαχείρισης, διαδικασίες ανάπτυξης, παρακολούθηση ασφάλειας, αντίγραφα ασφαλείας και τον καταμερισμό αρμοδιοτήτων μεταξύ ομάδων. Εξηγήστε τα σχετικά χαρακτηριστικά της υπηρεσίας και τις συνθήκες λειτουργίας αντί να υποκαθιστάτε την αφήγηση με διαγράμματα αρχιτεκτονικής.

Επιλύστε αυτά τα ζητήματα πεδίου πριν από τη συλλογή τεκμηρίων:

• Ποια προϊόντα, περιοχές και περιβάλλοντα περιλαμβάνονται;
• Ποιες ομάδες διαχειρίζονται το παραγωγικό περιβάλλον ή μπορούν να έχουν πρόσβαση σε πληροφορίες πελατών;
• Ποιοι υποκείμενοι πάροχοι υποστηρίζουν την υπηρεσία και πώς αντιμετωπίζονται οι δικλίδες τους;
• Ποιες διαμορφώσεις και εργασίες ασφάλειας παραμένουν στους πελάτες;
• Ποιες ουσιώδεις αλλαγές έγιναν, ή προγραμματίζονται, κατά την περίοδο της εξέτασης;

Δώστε στις εξαιρέσεις ρητή αιτιολόγηση. Αν εξαιρείται μια παλαιότερη εγκατάσταση, βεβαιωθείτε ότι οι δηλώσεις προς τους πελάτες δεν υπονοούν ότι καλύπτεται. Το παραδοτέο είναι μια περιγραφή συστήματος με εκδόσεις, υποστηριζόμενη από αρχεία αρχιτεκτονικής, εξαρτήσεων και αρμοδιοτήτων.

Επιλέξτε τον τύπο έκθεσης πριν ορίσετε το ημερολόγιο τεκμηρίων

Η διασφάλιση C5 εκφράζεται κατά κανόνα μέσω μιας έκθεσης βεβαίωσης του ελεγκτή. Ο τύπος 1 αφορά τον σχεδιασμό και την υλοποίηση των δικλίδων σε μια συγκεκριμένη χρονική στιγμή. Ο τύπος 2 εξετάζει επιπλέον την αποτελεσματικότητα λειτουργίας σε μια καθορισμένη περίοδο.

Ο τύπος 1 μπορεί να είναι χρήσιμο ορόσημο κατά τη δημιουργία ενός περιβάλλοντος δικλίδων, αλλά δεν απαντά στο ίδιο ερώτημα με τον τύπο 2. Επιβεβαιώστε τι απαιτούν πράγματι οι πελάτες πριν επιλέξετε μια ενδιάμεση έκθεση.

Συμφωνήστε την περίοδο και τις προσδοκίες για τα τεκμήρια με τον ελεγκτή. Μην υποθέτετε μια καθολική διάρκεια παρατήρησης. Μια διαδικασία που γράφτηκε κοντά στο τέλος μιας περιόδου δεν μπορεί να αποδείξει ότι η δικλίδα λειτουργούσε νωρίτερα. Ομοίως, μια επιτυχημένη τρέχουσα δοκιμή δεν διαγράφει μια ιστορική αποτυχία.

Οργανώστε τα τεκμήρια γύρω από την ευθύνη και την εκτέλεση

Ως πρακτική μέθοδο προετοιμασίας, δημιουργήστε ένα μητρώο τεκμηρίων που συνδέει κάθε εφαρμοστέο κριτήριο με την υλοποιημένη δικλίδα, τον υπεύθυνο, το όριο της υπηρεσίας, την πηγή των τεκμηρίων, τη συχνότητα επισκόπησης και τα ανεπίλυτα κενά. Καταγράψτε τις αποφάσεις εφαρμοσιμότητας και την αιτιολόγησή τους· αποφύγετε να χαρακτηρίζετε ένα κριτήριο άσχετο απλώς επειδή η υλοποίηση θα ήταν δύσκολη.

Διαχωρίστε τρία ερωτήματα: τι πρέπει να συμβαίνει, τι έχει υλοποιηθεί και τι συνέβη πράγματι. Μια πολιτική απαντά στο πρώτο. Τα αρχεία διαμόρφωσης μπορούν να στηρίξουν το δεύτερο. Τα αιτήματα, τα αρχεία καταγραφής, οι εγκρίσεις και τα αποτελέσματα δοκιμών στηρίζουν το τρίτο.

Πρόκειται για πρακτικά παραδείγματα, όχι για πλήρη λίστα ελέγχου του C5. Χρησιμοποιήστε τον συμφωνημένο κατάλογο και το πεδίο για να καθορίσετε την απαιτούμενη κάλυψη, συμπεριλαμβανομένων οργανωτικών, ανθρώπινων, φυσικών και τεχνικών δικλίδων.

Κάντε τα τεκμήρια αναπαραγώγιμα

Για κάθε εξαγωγή ή στιγμιότυπο οθόνης, διατηρήστε το σύστημα πηγής, την ημερομηνία συλλογής, τη σχετική περίοδο, τα φίλτρα και το πρόσωπο που τα συνέλεξε. Εξηγήστε αν αντιπροσωπεύει ολόκληρο τον πληθυσμό ή ένα επιλεγμένο στοιχείο. Οι ελεγκτές πρέπει να κατανοούν τον πληθυσμό από τον οποίο επιλέγουν δείγματα· ένας φάκελος που περιέχει μόνο επιτυχημένα παραδείγματα δεν αρκεί.

Προτιμήστε εγγραφές που διατηρούν τον δράστη, τη χρονοσήμανση, την ενέργεια και το αποτέλεσμα. Προστατέψτε τα τεκμήρια από μη εξουσιοδοτημένη αλλοίωση και αποφύγετε την περιττή έκθεση δεδομένων πελατών. Όπου απαιτείται απόκρυψη, διατηρήστε αρκετό πλαίσιο ώστε ο ελεγκτής να κατανοεί τι αποδεικνύει η εγγραφή.

Διαχωρίστε τις κληρονομούμενες δικλίδες από τις υποχρεώσεις που παραμένουν σε εσάς

Η διασφάλιση ενός παρόχου υποδομών μπορεί να στηρίζει τη φυσική ασφάλεια ή τις δικλίδες της υποκείμενης πλατφόρμας. Δεν αποδεικνύει ότι λειτουργεί η εξουσιοδότηση ανά μισθωτή της δικής σας εφαρμογής. Τεκμηριώστε την εξάρτηση, το σχετικό πεδίο της έκθεσης, την περίοδο, τις εξαιρέσεις και τις αρμοδιότητες που η ομάδα σας πρέπει ακόμη να εκπληρώσει.

Οι συμπληρωματικές δικλίδες των πελατών χρειάζονται επίσης πρακτική διατύπωση. Το «ο πελάτης είναι υπεύθυνος για την ασφάλεια» είναι υπερβολικά ευρύ. Προσδιορίστε εργασίες όπως η διαχείριση χρηστών του μισθωτή, η διαμόρφωση της ομοσπονδοποίησης ταυτοτήτων ή η επισκόπηση των πολιτικών πρόσβασης που ελέγχει ο πελάτης. Κρατήστε αυτές τις αρμοδιότητες συνεπείς στην περιγραφή του συστήματος, στην τεκμηρίωση της υπηρεσίας και στις συμβατικές ρυθμίσεις.

Εκτελέστε την προετοιμασία ως πρόγραμμα μηχανικής

Ξεκινήστε με μια αξιολόγηση κενών έναντι των συμφωνημένων κριτηρίων. Διακρίνετε την υλοποίηση που λείπει από τα τεκμήρια που λείπουν: απαιτούν διαφορετικές θεραπείες. Μια μη τεκμηριωμένη επισκόπηση μπορεί να απαιτεί καλύτερες εγγραφές· μια επισκόπηση πρόσβασης που δεν έγινε ποτέ απαιτεί μια λειτουργική δικλίδα.

Ορίστε για κάθε κενό υπεύθυνο, ενέργεια αποκατάστασης, εξάρτηση και ημερομηνία-στόχο. Δώστε προτεραιότητα στα ζητήματα που επηρεάζουν τον διαχωρισμό μισθωτών, την προνομιακή πρόσβαση, τις αλλαγές στο παραγωγικό περιβάλλον, την απόκριση σε περιστατικά και τη δυνατότητα ανάκαμψης ανάλογα με τους κινδύνους της υπηρεσίας, όχι απλώς στις ευκολότερες εργασίες τεκμηρίωσης.

Πριν από την περίοδο του τύπου 2, ελέγξτε ότι οι επαναλαμβανόμενες δικλίδες έχουν εφαρμόσιμα χρονοδιαγράμματα και ανθεκτικές εγγραφές. Επιβεβαιώστε ποιος τις εκτελεί σε περίπτωση απουσίας ή αλλαγής προσωπικού. Για δικλίδες που ενεργοποιούνται από γεγονότα, όπως ο τερματισμός λογαριασμών, βεβαιωθείτε ότι ο πληθυσμός των γεγονότων ενεργοποίησης μπορεί να προσδιοριστεί.

Διενεργήστε μια περιήγηση ετοιμότητας με αντιπροσωπευτικά τεκμήρια. Ακολουθήστε μία αλλαγή από το αίτημα έως την ανάπτυξη, έναν διαχειριστή που αποχωρεί έως την ανάκληση και μία άσκηση ανάκαμψης έως τη διορθωτική ενέργεια. Έτσι αποκαλύπτονται σπασμένες μεταβιβάσεις που μια επισκόπηση πολιτικών μπορεί να χάσει.

Κατά την εξέταση, τηρήστε ένα μητρώο αιτημάτων με υπευθύνους και κατάσταση απαντήσεων. Κρατήστε διαθέσιμα τα πρωτότυπα αρχεία, εξηγήστε ανοιχτά τις αποκλίσεις και παρακολουθήστε την αποκατάσταση χωριστά από τα ιστορικά τεκμήρια. Μην ξαναγράφετε παλιές εγγραφές ώστε να φαίνονται συμμορφούμενες. Ο ελεγκτής καθορίζει πώς τα ευρήματα επηρεάζουν τις δοκιμές και τη γνώμη.

Παράδειγμα: μια διαχειριζόμενη εφαρμογή σε εξωτερική υποδομή

Ας υποθέσουμε, ενδεικτικά, ότι ένας πάροχος λειτουργεί μια εφαρμογή πολλαπλών μισθωτών σε μία περιοχή, χρησιμοποιεί έναν εξωτερικό πάροχο υποδομών και επιδιώκει διασφάλιση τύπου 2. Η ομάδα του ελέγχει τις εκδόσεις της εφαρμογής, τα δικαιώματα των μισθωτών, τη διαχείριση του παραγωγικού περιβάλλοντος και τις διαδικασίες ανάκαμψης.

Η περιγραφή του πεδίου προσδιορίζει την εφαρμογή, τη βάση δεδομένων, το επίπεδο διαχείρισης, τα εργαλεία υποστήριξης και την εξάρτηση από την υποδομή. Εξηγεί ποιες υποκείμενες δικλίδες κληρονομούνται και ποιες παραμένουν στον πάροχο της εφαρμογής.

Για την απομόνωση των μισθωτών, η ομάδα καταγράφει τον σχεδιασμό εξουσιοδότησης, αυτοματοποιημένες αρνητικές δοκιμές, ευρήματα δοκιμών ασφάλειας και εγκρίσεις εκδόσεων. Διατηρεί επίσης εγγραφές αλλαγών που δείχνουν πότε άλλαξε η λογική εξουσιοδότησης. Η έκθεση της υποδομής είναι υποστηρικτικό τεκμήριο εξάρτησης, όχι απόδειξη απομόνωσης της εφαρμογής.

Για την προνομιακή πρόσβαση, η ομάδα διατηρεί τον πληθυσμό των διαχειριστών, τις εγκρίσεις χορήγησης, τις αποφάσεις επισκόπησης και τις εγγραφές αφαίρεσης. Ας υποθέσουμε ότι μια επισκόπηση ανακαλύπτει έναν αχρησιμοποίητο λογαριασμό υποστήριξης. Η ομάδα καταγράφει την ανακάλυψη, την ανάκληση, την αξιολόγηση της έκθεσης και την προληπτική ενέργεια. Αυτό είναι πιο αξιόπιστο από την υποβολή μόνο της «καθαρισμένης» λίστας λογαριασμών.

Για την ανάκαμψη, διατηρεί ένα αποτέλεσμα δοκιμής επαναφοράς που δείχνει τι ανακτήθηκε, τον χρόνο που χρειάστηκε, τους ελέγχους ακεραιότητας δεδομένων και τους ανεπίλυτους περιορισμούς. Μια διαμορφωμένη εργασία δημιουργίας αντιγράφων από μόνη της δεν αποδεικνύει δυνατότητα ανάκαμψης. Κάθε σύνολο τεκμηρίων έχει υπεύθυνο και καθορισμένη περίοδο, ώστε ο ελεγκτής να μπορεί να συνδέσει τις εγγραφές με τη δικλίδα που εξετάζεται.

Επαναχρησιμοποιήστε την εργασία διασφάλισης χωρίς να ισχυρίζεστε ισοδυναμία

Το ISO/IEC 27001 αφορά ένα σύστημα διαχείρισης ασφάλειας πληροφοριών με καθορισμένο πεδίο. Το SOC 2 είναι έκθεση βεβαίωσης με δικά του κριτήρια και πλαίσιο αναφοράς. Το C5 εστιάζει στη διασφάλιση υπηρεσιών νέφους βάσει του καταλόγου του BSI.

Οι υφιστάμενες αξιολογήσεις κινδύνων, οι δικλίδες πρόσβασης, οι διαδικασίες περιστατικών και τα λειτουργικά αρχεία μπορούν να υποστηρίξουν περισσότερα από ένα προγράμματα. Επαναχρησιμοποιήστε τα μέσω αντιστοιχίσεων ανά έκδοση και πεδίο και, στη συνέχεια, ελέγξτε για διαφορές στις απαιτήσεις ή στις αναφορές. Μια κοινή δικλίδα δεν συνιστά αυτόματη ισοδυναμία μεταξύ πλαισίων.

Επιλέξτε το χαρτοφυλάκιο διασφάλισης με βάση τις πραγματικές απαιτήσεις των πελατών και τους κινδύνους της υπηρεσίας. Το C5 δεν είναι καθολικά υποχρεωτικό για κάθε πάροχο υπηρεσιών νέφους· οι απαιτήσεις διαγωνισμών, οι συμβατικές ή οι εφαρμοστέες τομεακές απαιτήσεις χρειάζονται χωριστή επισκόπηση. Ούτε μια έκθεση C5 ούτε άλλο έγγραφο διασφάλισης αποδεικνύει από μόνο του συμμόρφωση με τον ΓΚΠΔ ή την Οδηγία NIS2.

Προετοιμάστε την έκθεση για τις αποφάσεις των πελατών

Οι πελάτες χρειάζονται την περιγραφή του συστήματος, την ημερομηνία ή την περίοδο, την πραγματική γνώμη, τις εξαιρέσεις και τα όρια αρμοδιοτήτων, όχι μόνο την ονομασία της έκθεσης. Όταν κοινοποιείτε εκθέσεις, σεβαστείτε τη συμβατική εμπιστευτικότητα και παρέχετε πλαίσιο για την αξιολόγηση του πελάτη.

Εξηγήστε την κατάσταση της αποκατάστασης χωρίς να υπονοείτε ότι οι μεταγενέστερες διορθώσεις αλλάζουν την ιστορική γνώμη. Αν η περίοδος της έκθεσης προηγείται μιας μεγάλης αρχιτεκτονικής αλλαγής, επισημάνετε αυτόν τον περιορισμό. Συμφωνήστε επαναλαμβανόμενες εξετάσεις με βάση τις προσδοκίες των πελατών και τις λειτουργικές αλλαγές αντί να αντιμετωπίζετε τη βεβαίωση ως διαχρονικό διαπιστευτήριο.

Η Secani βοηθά τις ομάδες να συνδέουν την υλοποίηση των δικλίδων και τα τεκμήρια με επισκοπημένες απαιτήσεις. Μοντελοποιήστε την υπηρεσία και τις εξαρτήσεις, ορίστε υπευθύνους και ελεγκτές, συνδέστε τις υποστηρικτικές εγγραφές και μετατρέψτε τα κενά τεκμηρίων σε εργασίες. Κρατήστε την ανθρώπινη έγκριση ρητή για τις αντιστοιχίσεις και τα συμπεράσματα. Το μοντέλο ετοιμότητας ελέγχου βοηθά στη διατήρηση του πεδίου και της ευθύνης πίσω από κάθε ισχυρισμό.

Ερωτήματα προς επίλυση πριν από την πρώτη εξέταση

Εκδίδει το BSI την έκθεση;

Το BSI δημοσιεύει τον κατάλογο. Ένας ανεξάρτητος ελεγκτής διενεργεί την εξέταση και εκδίδει την έκθεση βεβαίωσης· επιβεβαιώστε με αυτόν τον ελεγκτή το εφαρμοστέο πλαίσιο διασφάλισης και τους όρους της ανάθεσης.

Τι γίνεται αν δεν συνέβη κανένα πραγματικό περιστατικό;

Μην επινοείτε εγγραφή περιστατικού. Διατηρήστε τεκμήρια ότι η διαδικασία υλοποιήθηκε και, όπου ενδείκνυται, ότι δοκιμάστηκε σε άσκηση. Συμφωνήστε με τον ελεγκτή πώς η απουσία γεγονότων επηρεάζει τις δοκιμές.

Τι πρέπει να κάνει η ομάδα στη συνέχεια;

Πάρτε μια αντιπροσωπευτική υπηρεσία παραγωγής και προετοιμάστε την περιγραφή του πεδίου της, τον πίνακα αρμοδιοτήτων και το μητρώο τεκμηρίων. Επισκοπήστε αυτά τα τρία παραδοτέα με τον υποψήφιο ελεγκτή πριν συγκεντρώσετε ένα μεγάλο πακέτο τεκμηρίων.