C5 atesteerimine: valmistage ette pilveteenuse kindlustunde tõendid

Pilveteenuse klient soovib teada, milliseid kaitsemeetmeid pakkuja rakendab ja millised jäävad kliendi enda vastutusele. Saksamaa Liidu Infoturbeamet (BSI) avaldab pilvandmetöötluse vastavuskriteeriumide kataloogi C5 (Cloud Computing Compliance Criteria Catalogue) struktureeritud alusena sellise kindlustunde hindamiseks. CTO jaoks tähendab ettevalmistus teenuse piiri, kontrollimeetmete rakendamise ja tegevuskirjete kontrollitavaks muutmist – mitte pelgalt poliitikate kokkukogumist.

C5 on kriteeriumide kataloog, mida kasutatakse sõltumatuks atesteerimiseks, mitte ISO-laadne sertifitseerimine. Esmane allikas on BSI C5 dokumentatsioon. Alustage sellest, et lepite sõltumatu audiitoriga kokku kohaldatava väljaande, kindlustunde eesmärgi ja kontrolli ulatuse.

Määrake täpselt, millist teenust aruanne hõlmab

Kirjeldage pilveteenust, tegevuskohti, organisatsioonilisi piire ja sõltuvusi. Ühte teenust hõlmav aruanne ei hõlma automaatselt kõiki sama kaubamärgi all olevaid tooteid. Tuvastage tootmiskomponendid, haldusliidesed, tugitegevused ja välised teenused, mis võivad kindlustunde väiteid mõjutada.

Süsteemikirjeldus peaks võimaldama kõrvalseisjal mõista, kuidas kliendiandmed teenusesse jõuavad, selles liiguvad ja sealt lahkuvad. Kaasake haldusteed, juurutusprotsessid, turvaseire, varukoopiad ja vastutuse jaotus meeskondade vahel. Selgitage asjakohaseid teenuse omadusi ja töötingimusi, selle asemel et asendada kirjeldav tekst arhitektuurijoonistega.

Lahendage need ulatusküsimused enne tõendite kogumist:

• Millised tooted, piirkonnad ja keskkonnad on hõlmatud?
• Millised meeskonnad haldavad tootmiskeskkonda või pääsevad ligi kliendiandmetele?
• Millised alusteenuste pakkujad teenust toetavad ja kuidas nende kontrollimeetmeid käsitletakse?
• Millised konfiguratsioonid ja turvaülesanded jäävad klientidele?
• Millised olulised muudatused toimusid või on kavandatud kontrolliperioodi jooksul?

Andke välistustele selge põhjendus. Kui vana juurutus on välja jäetud, veenduge, et klientidele suunatud väited ei jätaks muljet, et see on hõlmatud. Tulemuseks on versioonitud süsteemikirjeldus, mida toetavad arhitektuuri-, sõltuvus- ja vastutuskirjed.

Valige aruande tüüp enne tõendite kalendri koostamist

C5 kindlustunnet väljendatakse üldjuhul audiitori atesteerimisaruandes. 1. tüüp käsitleb kontrollimeetmete ülesehitust ja rakendamist kindlal ajahetkel. 2. tüüp hindab lisaks toimimise tõhusust kindlaksmääratud perioodi jooksul.

1. tüüp võib olla kasulik vahe-eesmärk kontrollikeskkonna loomisel, kuid see ei vasta samale küsimusele kui 2. tüüp. Enne vahearuande valimist kinnitage, mida kliendid tegelikult nõuavad.

Leppige audiitoriga kokku periood ja tõenditele esitatavad ootused. Ärge eeldage universaalset vaatlusperioodi pikkust. Perioodi lõpu lähedal kirjutatud protseduur ei tõenda, et kontrollimeede toimis varem. Samamoodi ei kustuta praegune edukas test ajaloolist tõrget.

Ehitage tõendid vastutuse ja täitmise ümber

Praktilise ettevalmistusmeetodina looge tõendiregister, mis seob iga kohaldatava kriteeriumi rakendatud kontrollimeetme, omaniku, teenuse piiri, tõendiallika, ülevaatussageduse ja lahendamata lünkadega. Salvestage kohaldatavuse otsused ja nende põhjendused; vältige kriteeriumi ebaoluliseks märkimist lihtsalt sellepärast, et selle rakendamine oleks keeruline.

Eristage kolme küsimust: mis peaks toimuma, mis on rakendatud ja mis tegelikult toimus. Poliitika vastab esimesele. Konfiguratsioonikirjed võivad toetada teist. Piletid, logid, kinnitused ja testitulemused toetavad kolmandat.

Need on praktilised näited, mitte täielik C5 kontrollnimekiri. Kasutage nõutava katvuse määramiseks kokkulepitud kataloogi ja ulatust, sealhulgas organisatsioonilisi, personali-, füüsilisi ja tehnilisi kontrollimeetmeid.

Muutke tõendid reprodutseeritavaks

Säilitage iga ekspordi või kuvatõmmise kohta lähtesüsteem, kogumise kuupäev, asjakohane periood, filtrid ja koguja. Selgitage, kas see esindab kogu populatsiooni või valitud üksust. Audiitorid peavad mõistma populatsiooni, millest nad valimi võtavad; kaust, mis sisaldab ainult edukaid näiteid, ei ole piisav.

Eelistage kirjeid, mis säilitavad tegija, ajatempli, toimingu ja tulemuse. Kaitske tõendeid volitamata muutmise eest ja vältige kliendiandmete asjatut paljastamist. Kui varjamine on vajalik, säilitage piisavalt konteksti, et ülevaataja mõistaks, mida kirje tõendab.

Eristage päritud kontrollimeetmeid allesjäänud kohustustest

Taristupakkuja kindlustunne võib toetada füüsilist turvet või aluseks oleva platvormi kontrollimeetmeid. See ei tõenda, et teie rakenduse rentnikupõhine autoriseerimine toimib. Dokumenteerige sõltuvus, asjakohase aruande ulatus, periood, erandid ja vastutus, mida teie meeskond peab endiselt täitma.

Ka täiendavad kliendipoolsed kontrollimeetmed vajavad praktilist sõnastust. „Klient vastutab turvalisuse eest“ on liiga lai. Täpsustage ülesanded, näiteks rentniku kasutajate haldamine, identiteedi föderatsiooni konfigureerimine või kliendi hallatavate juurdepääsupoliitikate ülevaatamine. Hoidke need kohustused kooskõlas süsteemikirjelduses, teenuse dokumentatsioonis ja lepingulistes kokkulepetes.

Viige ettevalmistus läbi insenerprogrammina

Alustage lünkade hindamisest kokkulepitud kriteeriumide alusel. Eristage puuduvat rakendamist puuduvatest tõenditest: need nõuavad erinevaid lahendusi. Dokumenteerimata ülevaatus võib vajada paremaid kirjeid; juurdepääsu ülevaatus, mida kunagi ei toimunud, nõuab toimivat kontrollimeedet.

Määrake igale lüngale omanik, parandusmeede, sõltuvus ja sihtkuupäev. Seadke prioriteetsuse järjekorda probleemid, mis mõjutavad rentnike eraldatust, privilegeeritud juurdepääsu, tootmismuudatusi, intsidentidele reageerimist ja taastatavust, lähtudes teenuse riskidest – mitte lihtsalt kõige lihtsamatest dokumenteerimisülesannetest.

Enne 2. tüübi perioodi kontrollige, et korduvatel kontrollimeetmetel oleksid toimivad ajakavad ja püsivad kirjed. Kinnitage, kes neid töötajate puudumise või vahetumise ajal teeb. Sündmustest käivituvate kontrollimeetmete puhul, näiteks konto sulgemine, veenduge, et käivitav populatsioon oleks tuvastatav.

Viige läbi valmisoleku läbikäik esinduslike tõenditega. Jälgige ühte muudatust taotlusest juurutuseni, ühte lahkuvat administraatorit õiguste tühistamiseni ja ühte taasteõppust parandusmeetmeni. See toob esile katkised üleandmised, mis poliitika ülevaatusel võivad märkamata jääda.

Kontrolli ajal pidage päringuregistrit koos omanike ja vastamise olekuga. Hoidke algkirjed kättesaadavana, selgitage lahknevusi avatult ja jälgige parandustöid ajaloolistest tõenditest eraldi. Ärge kirjutage vanu kirjeid ümber, et need näiksid vastavad. Audiitor otsustab, kuidas leiud testimist ja arvamust mõjutavad.

Läbitöötatud näide: hallatud rakendus välisel taristul

Oletame illustratiivselt, et pakkuja käitab mitme rentnikuga rakendust ühes piirkonnas, kasutab välist taristupakkujat ja taotleb 2. tüübi kindlustunnet. Tema meeskond kontrollib rakenduse väljalaskeid, rentnike õigusi, tootmiskeskkonna haldust ja taastamisprotseduure.

Ulatuse kirjeldus tuvastab rakenduse, andmebaasi, halduskihi, tugitööriistad ja taristusõltuvuse. See selgitab, millised aluseks olevad kontrollimeetmed on päritud ja millised jäävad rakenduse pakkujale.

Rentnike eraldatuse jaoks salvestab meeskond oma autoriseerimise ülesehituse, automaatsed negatiivsed testid, turvatestide leiud ja väljalaskekinnitused. Samuti säilitab ta muudatuskirjed, mis näitavad, millal autoriseerimisloogika muutus. Taristuaruanne on toetav sõltuvustõend, mitte rakenduse eraldatuse tõend.

Privilegeeritud juurdepääsu puhul säilitab meeskond administraatorite populatsiooni, õiguste andmise kinnitused, ülevaatusotsused ja eemaldamiskirjed. Oletame, et ülevaatus avastab kasutamata tugikonto. Meeskond salvestab avastuse, õiguste tühistamise, kokkupuute hinnangu ja ennetava meetme. See on usutavam kui ainult puhastatud kontonimekirja esitamine.

Taastamise jaoks säilitab ta taastetesti tulemuse, mis näitab, mida taastati, kulunud aega, andmete tervikluse kontrolle ja lahendamata piiranguid. Ainuüksi seadistatud varundustöö ei tõenda taastatavust. Igal tõendikogumil on omanik ja määratletud periood, nii et audiitor saab siduda kirjed hinnatava kontrollimeetmega.

Taaskasutage kindlustunde tööd ilma samaväärsust väitmata

ISO/IEC 27001 käsitleb kindla ulatusega infoturbe juhtimissüsteemi. SOC 2 on atesteerimisaruanne, millel on oma kriteeriumid ja aruandluskontekst. C5 keskendub pilveteenuse kindlustundele BSI kataloogi alusel.

Olemasolevad riskihinnangud, juurdepääsukontrollid, intsidendiprotseduurid ja tegevuskirjed võivad toetada rohkem kui üht programmi. Taaskasutage neid versiooni- ja ulatusepõhiste vastenduste kaudu, seejärel kontrollige nõuete või aruandluse erinevusi. Ühine kontrollimeede ei tähenda automaatset samaväärsust raamistike vahel.

Valige kindlustunde portfell tegelike klientide nõuete ja teenuse riskide põhjal. C5 ei ole igale pilveteenuse pakkujale universaalselt kohustuslik; hanke-, lepingulised või kohaldatavad sektorinõuded vajavad eraldi ülevaatust. Ei C5 aruanne ega ükski muu kindlustunde dokument iseenesest ei tõenda vastavust GDPR-ile või NIS2-le.

Valmistage aruanne ette klientide otsuste jaoks

Kliendid vajavad süsteemikirjeldust, kuupäeva või perioodi, tegelikku arvamust, erandeid ja vastutuse piire – mitte ainult aruande silti. Aruannete jagamisel järgige lepingulist konfidentsiaalsust ja andke kontekst kliendi hindamise jaoks.

Selgitage paranduste olekut, jätmata muljet, et hilisemad parandused muudavad ajaloolist arvamust. Kui aruande periood eelneb suurele arhitektuurimuudatusele, tooge see piirang välja. Leppige korduvad kontrollid kokku klientide ootuste ja tegevusmuudatuste järgi, selle asemel et käsitleda atesteerimist ajatu tunnistusena.

Secani aitab meeskondadel siduda kontrollimeetmete rakendamise ja tõendid ülevaadatud nõuetega. Modelleerige teenus ja sõltuvused, määrake omanikud ja ülevaatajad, lisage toetavad kirjed ja muutke tõendilüngad ülesanneteks. Hoidke inimkinnitus vastenduste ja järelduste puhul selgesõnalisena. Auditivalmiduse mudel aitab säilitada iga väite taga olevat ulatust ja vastutust.

Küsimused, mis tuleb lahendada enne esimest kontrolli

Kas aruande väljastab BSI?

BSI avaldab kataloogi. Kontrolli viib läbi ja atesteerimisaruande väljastab sõltumatu audiitor; kinnitage kohaldatav kindlustunde raamistik ja töövõtu tingimused selle audiitoriga.

Mis siis, kui ühtegi tegelikku intsidenti ei toimunud?

Ärge mõelge intsidendikirjet välja. Säilitage tõendid, et protsess oli rakendatud ja vajaduse korral harjutatud. Leppige audiitoriga kokku, kuidas sündmuste puudumine testimist mõjutab.

Mida peaks meeskond järgmisena tegema?

Võtke üks esinduslik tootmisteenus ja valmistage ette selle ulatuse kirjeldus, vastutusmaatriks ja tõendiregister. Vaadake need kolm tulemit tulevase audiitoriga üle enne suure tõendipaketi kokkupanemist.