BSI C5.
Selgitage pilvteenuste kriteeriumikataloogi, valige sobiv aruandetüüp ning määrake teenuseosutaja ja kliendi vastutus.
- BSI C5:2026 · C5:2020 üleminekuajal
- Autor: Jonathan Bezdek
- Seisuga: 22.10.2026
- Lugemisaeg: 6 min
Lühivastus.
BSI C5 on pilvteenuste infoturbe kriteeriumikataloog. Sõltumatu audiitorhindamine uurib kirjeldatud teenust ning koostab kinnituse koos hindamisaruandega. C5:2026 eristab kindla kuupäeva seisuga väiteid tegevusliku tõhususe täiendavast kontrollist ajavahemiku jooksul. Kliendid hindavad aruannet ja enda allesjäävaid turbeülesandeid ise; BSI ei väljasta sertifikaati.
BSI C5 ja pilvturbe kriteeriumikataloog.
BSI C5 loob ühise aluse pilvteenuse turvalubaduste kontrollimiseks ja hindamiseks. Täisnimi on Cloud Computing Compliance Criteria Catalogue. BSI avaldab kataloogi; teenuseosutaja tellib hindamise vandeaudiitorilt. BSI sissejuhatav leht eristab neid rolle sõnaselgelt: amet ei vali audiitoreid ega hinda üksikuid aruandeid.
Avaldatud versioon on C5:2026. C5:2020 jääb üleminekuajal teatavate hindamiste jaoks asjakohaseks. Seetõttu tuleb tellimuse selgitamisel käsitleda koos väljaannet, aruandetüüpi ja ajalist piiri. Väide „C5 järgi hinnatud“ jätab lahtiseks, millist teenust millistel tingimustel uuriti; hankeotsuseks sellest ei piisa.
C5:2026 jaotis 3.5 näeb uut väljaannet ette 1. tüübi hindamiskuupäevadele alates 1. juunist 2027 ning 2. tüübi hindamisperioodidele, mis algavad sellest päevast; varasem kasutamine on võimalik. Varem algavaid ja üle selle kuupäeva ulatuvaid 2. tüübi perioode tuleks veel hinnata ühtselt C5:2020 järgi. Alates 28. veebruarist 2027 lõppevate perioodide puhul on juba ette nähtud lisaandmed kavandatud kontrollimuudatuste kohta. Kooskõlastage konkreetne üleminekuolukord audiitoriga.
Kellele C5 kinnitus on asjakohane.
Pilvteenuse osutajad kasutavad C5, et muuta piiritletud teenuse turbetöö klientidele jälgitavaks. Kliendid ja hankemeeskonnad saavad teavet enda riskihindamiseks. Aruanne võib puudutada taristut, platvorme või tarkvara; määrav on selle tegelik ulatus. BSI KKK järgi kehtib väide hinnatud teenustele ja piirkondadele, mitte üldiselt kontserni kõigile pakkumistele.
C5 kinnituse nõutavus sõltub konkreetsest kasutusest ja nõuetest. Kontrollige eraldi kliendilepinguid, hanketingimusi ja kohaldatavaid valdkondlikke reegleid. Samuti ei vasta olemasolev aruanne automaatselt küsimusele, kas teenus sobib eriti tundlikule teabele. BSI sissejuhatav leht paneb oma nõuete ning allesjäävate riskide hindamise kliendi ülesandeks.
Millist tööd C5 kriteeriumikataloog ühendab.
C5 vaatleb pilvteenuse turbekorraldust, käitamistingimusi ja ülesannete jaotust. Järgmised kuus töövaldkonda on ettevalmistuse praktiline orientiir; need ei asenda 5. peatüki kriteeriume ega kooskõlastatud hindamisplaani.
Kinnistage vastutus teenuses.
Määrake otsused, tegevusülesanded ja ülevaatused vastutavatele isikutele. Korralduslik kirjeldus peaks näitama, kes võib kõrvalekalde korral tegutseda ja kes jälgib selle kõrvaldamist. Nii välditakse eeldust, et üksnes koordineeriv turbefunktsioon täidab kõik käitamisülesanded.
Piiritlege teenus ja sõltuvused.
Kirjeldage, millised teenused, piirkonnad ja toetavad teenuseosutajad väite alla kuuluvad. Tehniline sõltuvus võib olla turvalisuse jaoks oluline ka siis, kui see on lepinguliselt välja tellitud. Talletage jälgitavalt, milliseid kinnitusi te teistelt saate ja millised ülesanded jäävad enda käitamisse.
Kaitske juurdepääse ja teavet.
Vaadelge klienditeabe käsitlemist tegeliku teenuse ulatuses. Praktilisse ülevaatusse kuuluvad kasutaja- ja haldusjuurdepääsud ning vastutus seadistuste ja õiguste eest. Kontrollige ka teenuseosutaja ning kliendi vahelisi üleandmisi; turvaliselt käitatav aluspõhi ei vasta iseenesest kliendi seadistusküsimustele.
Hoidke käitamine ja muudatused jälgitavad.
Ühendage määratletud protseduurid nende rakendamise kirjetega. Teenuse muudatus võib puudutada teistsuguseid tõendeid ja vastutajaid kui muutumatu käitamisetapp. Seetõttu aitab ettevalmistusel asjakohaste muudatuste ajaline paigutamine ning sobivate dokumentide kättesaadavus, mitte üksnes tänase seisu näitamine.
Olge häireteks valmis.
Selgitage vastutusalad intsidentide, suhtluse ja taaskäivitamise jaoks. Praktiline õppus võib näidata, kas üleandmised ja eskaleerimised toimivad. Märgistage õppused sellisena ning säilitage tulemused; väljamõeldud sündmusi ei tohi esitada ajalooliste käitamistõenditena. Tõendite põhjalikum korraldamine jääb olemasoleva C5 blogiartikli teemaks.
Looge klientidele läbipaistvus.
C5:2026 4. peatükk kirjeldab raamtingimusi, mida kliendid hindamiseks vajavad. Esitage hindamisulatus ja allesjäävad kliendiülesanded nii, et lugejad saaksid enda kasutust hinnata. Üldisest turbeväitest on vähem abi kui konkreetse vastutuspiiri ja võimalike piirangute arusaadavast kirjeldusest.
Tee C5 kinnituseni.
Selgitage tõendamisvajadus.
Praktilise alustussammuna selgitage, millised kliendid millise teenuse jaoks aruannet ootavad ning milline väljaanne, aruandetüüp ja ajaline piir selleks sobivad.
Kirjeldage hindamisulatust.
Piiritlege teenused, piirkonnad, kaasatud organisatsioonid ja sõltuvused nii, et kavandatud audiitor saaks tellimust ning selle liideseid hinnata.
Valmistage ette kontrollide toimimine.
Selgitage kohaldatavad kriteeriumid ja vastutusalad vastutavate meeskondadega ning kooskõlastage oodatavad tõendid enne kavandatud vaatlusperioodi algust.
Säilitage tegevuskirjed.
Hoidke alles jälgitavad tõendid kokkulepitud ajalise piiri kohta ning talletage muudatused ja tuvastatud kõrvalekalded koos tegeliku kulgemisega.
Laske hinnata sõltumatult.
Tellige sobiv audiitorhindamine ja selgitage olemasolevaid dokumente, esitamata hilisemaid parendusi varasema kontrolliseisuna.
Analüüsige ja ajakohastage aruannet.
Kontrollige kliendi vaatest koos väidet, ulatust, perioodi ja piiranguid ning leppige kokku edasine tõenditega kaetus pidevaks kasutuseks.
Mida C5 kinnitus tõendab.
C5 kinnitus sisaldab kirjeldatud pilvteenuse sõltumatu hindamise tulemust. C5:2026 jaotise 3.4.4 järgi vaatleb 1. tüüp kontrollide kujundust ja sisseseadmist kindla kuupäeva seisuga; 2. tüüp hõlmab lisaks tegevuslikku tõhusust ajavahemiku jooksul. Seetõttu vastab kindla kuupäeva aruanne teisele küsimusele kui aruanne pideva käitamise kohta.
2. tüüp ei eelda varasemat 1. tüübi aruannet. C5:2026 jaotis 3.4.11 näeb 1. tüübi ette ainult esmaseks hindamiseks. Sobiv hindamine sõltub tellimusest, lähteolukorrast ja tõendamisvajadusest. Kontrollige tervikaruannet ning selle piiranguid koos süsteemikirjeldusega; tiitelleht või teenuseosutaja esitlus ei asenda seda hindamist.
C5 kinnitusel ei ole sertifikaadi eeskujul üldist kehtivusaega. See puudutab märgitud kuupäeva või perioodi. BSI KKK selgitab, et vanem aruanne võib kaotada tänase riskihindamise jaoks tõendusjõudu. Seetõttu tuleb uued piirkonnad, olulised teenusemuudatused või puuduv ajaline tõenditega kaetus kaasata kliendi praegusesse otsusesse.
Teiste raamistike seosed.
ISO 27001 puudutab infoturbe juhtimissüsteemi ja selle võimalikku sertifitseerimistõendit. SOC 2 on eraldi aruandesüsteem teiste kriteeriumide ja tellimistingimustega. IKÜM tekitab isikuandmete puhul seadusjärgsed kohustused; C5 kinnitus ei asenda nende kontrolli ega vastutava töötleja ülesandeid.
Secanis.
Secani pakub enda koostatud BSI C5:2026 tööabivahendit. Profiiliandmed hõlmavad muu hulgas pilvteenuse osutajat, pilvklienti, lisakriteeriume, 2. tüübi käsitlust ja alamteenuseosutajaid. Kataloog toetab struktureeritud käsitlemist; see ei ole ametlik tõlge ega kinnitus. Sisuline hindamine ja sõltumatu hindamisotsus jäävad eraldi ülesanneteks.
Alustage piiritletud pilvteenusest.
Valige konkreetselt nimetatud teenus ja talletage kliendivajadus. Kirjeldage piirkonda, vastutusalasid ja olulisi sõltuvusi. Seejärel selgitage kavandatud audiitoriga, millist väljaannet ning aruandetüüpi selle väite jaoks vajatakse. Nii tekib usaldusväärne alus edasiseks ettevalmistuseks.
Korduma kippuvad küsimused.
Ei. BSI avaldab kriteeriumikataloogi; tellitud audiitorhindamine annab hindamisaruande ja kinnituse. BSI sertifikaati seejuures ei väljastata.
Tüüp 1 vaatleb kujundust ja sisseseadmist kindla kuupäeva seisuga. Tüüp 2 kontrollib lisaks tegevuslikku tõhusust märgitud perioodi jooksul; varasem 1. tüübi aruanne ei ole selleks vajalik.
Üldist kehtivusaega ei saa määrata. Aruanne puudutab oma kuupäeva või perioodi; kliendid peavad hindama, kas see sobib praeguse kasutuse, muudatuste ja vajaliku tõenditega kaetusega.
Ei. Kliendid peavad endiselt hindama ja täitma enda vastutusalasse jäävaid ülesandeid ning riske käsitlema. Selle hulka kuulub tegeliku aruandeulatuse võrdlemine enda kasutusega.
Piiritlege pilvteenus.
Arutage, kuidas kasutada Secanis enda koostatud C5 kataloogi.
See leht selgitab C5 üldiselt ega asenda originaalkataloogi või erialast hindamist. Määravad on kokkulepitud väljaanne, konkreetne hindamistellimus ja kohaldatavad nõuded.