C5-varmennus: valmistele pilvipalvelun varmennusnäyttö

Pilvipalvelun asiakas haluaa tietää, mitä suojauksia palveluntarjoaja ylläpitää ja mitkä jäävät asiakkaan omalle vastuulle. Saksan liittovaltion tietoturvavirasto (BSI) julkaisee pilvipalvelujen vaatimustenmukaisuuskriteeristön Cloud Computing Compliance Criteria Catalogue (C5) jäsenneltynä perustana tämän varmuuden tarkastelulle. Teknologiajohtajalle valmistautuminen tarkoittaa palvelun rajan, hallintakeinojen toteutuksen ja operatiivisten kirjausten tekemistä tarkastettaviksi, ei pelkkää politiikkojen kokoamista.

C5 on kriteeriluettelo, jota käytetään riippumattomassa varmennuksessa (attestation), ei ISO-tyyppinen sertifiointi. BSI:n C5-dokumentaatio on ensisijainen lähde. Aloita sopimalla sovellettavasta painoksesta, varmennustavoitteesta ja tarkastuksen soveltamisalasta riippumattoman tilintarkastajan kanssa.

Määritä tarkasti, minkä palvelun raportti kattaa

Kuvaa pilvipalvelu, toimintasijainnit, organisatoriset rajat ja riippuvuudet. Yhtä palvelua koskeva raportti ei automaattisesti kata jokaista saman tuotemerkin tuotetta. Tunnista tuotantokomponentit, hallintarajapinnat, tukitoiminnot ja ulkoiset palvelut, jotka voivat vaikuttaa varmennusväitteisiin.

Järjestelmäkuvauksen tulee auttaa ulkopuolista ymmärtämään, miten asiakastiedot tulevat palveluun, liikkuvat sen läpi ja poistuvat siitä. Ota mukaan ylläpitopolut, käyttöönottoprosessit, tietoturvavalvonta, varmuuskopiot ja tiimien välinen vastuunjako. Selitä palvelun olennaiset ominaisuudet ja toimintaolosuhteet sen sijaan, että korvaisit kuvauksen arkkitehtuurikaavioilla.

Ratkaise nämä soveltamisalaa koskevat kysymykset ennen näytön keräämistä:

• Mitkä tuotteet, alueet ja ympäristöt sisältyvät?
• Mitkä tiimit ylläpitävät tuotantoa tai pääsevät käsiksi asiakastietoihin?
• Mitkä taustapalveluntarjoajat tukevat palvelua, ja miten niiden hallintakeinoja käsitellään?
• Mitkä konfiguraatiot ja tietoturvatehtävät jäävät asiakkaille?
• Mitä olennaisia muutoksia tarkastelujakson aikana tapahtui tai on suunniteltu?

Perustele poissulkemiset nimenomaisesti. Jos vanha käyttöönotto on rajattu pois, varmista, etteivät asiakkaille suunnatut lausumat anna ymmärtää sen kuuluvan raportin piiriin. Tuotos on versioitu järjestelmäkuvaus, jota tukevat arkkitehtuuri-, riippuvuus- ja vastuukirjaukset.

Valitse raporttityyppi ennen näyttökalenterin laatimista

C5-varmennus ilmaistaan yleensä tilintarkastajan varmennusraportilla. Tyyppi 1 käsittelee hallintakeinojen suunnittelua ja toteutusta tiettynä ajankohtana. Tyyppi 2 tarkastelee lisäksi toiminnan tehokkuutta määritellyn jakson aikana.

Tyyppi 1 voi olla hyödyllinen välitavoite hallintaympäristöä rakennettaessa, mutta se ei vastaa samaan kysymykseen kuin tyyppi 2. Varmista, mitä asiakkaat todella edellyttävät, ennen kuin valitset väliraportin.

Sovi jaksosta ja näyttöä koskevista odotuksista tilintarkastajan kanssa. Älä oleta yleistä havainnointijakson pituutta. Jakson lopussa kirjoitettu menettely ei voi osoittaa, että hallintakeino toimi aiemmin. Samoin onnistunut nykyinen testi ei poista historiallista epäonnistumista.

Rakenna näyttö vastuun ja toteutuksen ympärille

Käytännöllisenä valmistautumismenetelmänä rakenna näyttörekisteri, joka yhdistää jokaisen sovellettavan kriteerin toteutettuun hallintakeinoon, omistajaan, palvelun rajaan, näytön lähteeseen, katselmointitiheyteen ja avoimiin puutteisiin. Kirjaa sovellettavuuspäätökset ja niiden perustelut; vältä merkitsemästä kriteeriä merkityksettömäksi vain siksi, että toteutus olisi vaikeaa.

Erota kolme kysymystä: mitä pitäisi tapahtua, mitä on toteutettu ja mitä todella tapahtui. Politiikka vastaa ensimmäiseen. Konfiguraatiokirjaukset voivat tukea toista. Tiketit, lokit, hyväksynnät ja testitulokset tukevat kolmatta.

Nämä ovat käytännöllisiä esimerkkejä, eivät täydellinen C5-tarkistuslista. Käytä sovittua kriteeriluetteloa ja soveltamisalaa vaaditun kattavuuden määrittämiseen, mukaan lukien organisatoriset, henkilöstöön liittyvät, fyysiset ja tekniset hallintakeinot.

Tee näytöstä toistettavaa

Säilytä kunkin viennin tai kuvakaappauksen osalta lähdejärjestelmä, keräyspäivä, asiaankuuluva ajanjakso, suodattimet ja kerääjä. Selitä, edustaako se koko joukkoa vai valittua kohdetta. Tilintarkastajien on ymmärrettävä joukko, josta he valitsevat otoksensa; kansio, joka sisältää vain onnistuneita esimerkkejä, ei riitä.

Suosi kirjauksia, joissa säilyvät toimija, aikaleima, toimenpide ja lopputulos. Suojaa näyttö luvattomilta muutoksilta ja vältä asiakastietojen tarpeetonta paljastamista. Jos tietoja on peitettävä, säilytä riittävästi kontekstia, jotta katselmoija ymmärtää, mitä kirjaus todistaa.

Erota perityt hallintakeinot omista velvollisuuksista

Infrastruktuuripalveluntarjoajan varmennus voi tukea fyysistä turvallisuutta tai taustalla olevan alustan hallintakeinoja. Se ei osoita, että sovelluksenne asiakasympäristöjen valtuutus toimii. Dokumentoi riippuvuus, asiaankuuluvan raportin soveltamisala, jakso, poikkeukset ja vastuut, jotka tiiminne on edelleen täytettävä.

Myös täydentävät asiakkaan hallintakeinot tarvitsevat käytännöllisen sanamuodon. ”Asiakas vastaa tietoturvasta” on liian laaja. Täsmennä tehtävät, kuten asiakasympäristön käyttäjien hallinnointi, identiteettifederaation konfigurointi tai asiakkaan hallinnoimien pääsykäytäntöjen katselmointi. Pidä nämä vastuut johdonmukaisina järjestelmäkuvauksessa, palvelun dokumentaatiossa ja sopimusjärjestelyissä.

Toteuta valmistautuminen teknisenä ohjelmana

Aloita puuteanalyysilla sovittuja kriteerejä vasten. Erota puuttuva toteutus puuttuvasta näytöstä: ne edellyttävät eri korjauskeinoja. Dokumentoimaton katselmointi voi vaatia parempia kirjauksia; käyttöoikeuskatselmointi, jota ei koskaan tehty, edellyttää operatiivista hallintakeinoa.

Osoita jokaiselle puutteelle omistaja, korjaustoimenpide, riippuvuus ja tavoitepäivä. Priorisoi palvelun riskien mukaan ongelmat, jotka vaikuttavat asiakasympäristöjen erotteluun, etuoikeutettuun pääsyyn, tuotantomuutoksiin, poikkeamiin reagointiin ja palautettavuuteen, eivätkä pelkästään helpoimmat dokumentointitehtävät.

Tarkista ennen tyypin 2 jaksoa, että toistuvilla hallintakeinoilla on toimivat aikataulut ja pysyvät kirjaukset. Varmista, kuka suorittaa ne poissaolojen tai henkilöstön vaihtuvuuden aikana. Varmista tapahtumapohjaisten hallintakeinojen, kuten tilien sulkemisen, osalta, että laukaisevien tapahtumien joukko voidaan tunnistaa.

Tee valmiuskatselmointi edustavalla näytöllä. Jäljitä yksi muutos pyynnöstä käyttöönottoon, yksi lähtevä ylläpitäjä käyttöoikeuksien poistoon asti ja yksi palautumisharjoitus korjaavaan toimenpiteeseen asti. Tämä paljastaa katkenneet vastuunsiirrot, jotka politiikkakatselmointi voi ohittaa.

Ylläpidä tarkastuksen aikana pyyntörekisteriä omistajineen ja vastausten tiloineen. Pidä alkuperäiset kirjaukset saatavilla, selitä ristiriidat avoimesti ja seuraa korjaustoimia erillään historiallisesta näytöstä. Älä kirjoita vanhoja kirjauksia uudelleen niin, että ne näyttäisivät vaatimustenmukaisilta. Tilintarkastaja ratkaisee, miten havainnot vaikuttavat testaukseen ja lausuntoon.

Esimerkki: hallinnoitu sovellus ulkoisella infrastruktuurilla

Oletetaan havainnollistamismielessä, että palveluntarjoaja operoi monivuokralaissovellusta yhdellä alueella, käyttää ulkoista infrastruktuuripalveluntarjoajaa ja tavoittelee tyypin 2 varmennusta. Sen tiimi hallitsee sovellusjulkaisuja, asiakasympäristöjen oikeuksia, tuotannon ylläpitoa ja palautumismenettelyjä.

Soveltamisalan kuvaus yksilöi sovelluksen, tietokannan, hallintatason, tukityökalut ja infrastruktuuririippuvuuden. Se selittää, mitkä taustalla olevat hallintakeinot peritään ja mitkä jäävät sovelluksen tarjoajalle.

Asiakasympäristöjen eristyksen osalta tiimi kirjaa valtuutuksen suunnittelun, automaattiset negatiiviset testit, tietoturvatestien havainnot ja julkaisujen hyväksynnät. Se säilyttää myös muutoskirjaukset, joista näkyy, milloin valtuutuslogiikka muuttui. Infrastruktuuriraportti on riippuvuutta tukevaa näyttöä, ei todiste sovelluksen eristyksestä.

Etuoikeutetun pääsyn osalta tiimi säilyttää ylläpitäjien joukon, oikeuksien myöntämisten hyväksynnät, katselmointipäätökset ja poistokirjaukset. Oletetaan, että katselmoinnissa löydetään käyttämätön tukitili. Tiimi kirjaa löydöksen, käyttöoikeuden poiston, altistumisen arvioinnin ja ennaltaehkäisevän toimenpiteen. Tämä on uskottavampaa kuin pelkän siivotun tililuettelon toimittaminen.

Palautumisen osalta se säilyttää palautustestin tuloksen, josta näkyy, mitä palautettiin, kulunut aika, tietojen eheystarkistukset ja ratkaisemattomat rajoitukset. Pelkkä konfiguroitu varmuuskopiointiajo ei osoita palautettavuutta. Jokaisella näyttökokonaisuudella on omistaja ja määritelty jakso, joten tilintarkastaja voi yhdistää kirjaukset tarkasteltavaan hallintakeinoon.

Käytä varmennustyötä uudelleen väittämättä vastaavuutta

ISO/IEC 27001 koskee rajattua tietoturvallisuuden hallintajärjestelmää. SOC 2 on varmennusraportti, jossa käytetään omia kriteerejä ja raportointikontekstia. C5 keskittyy pilvipalvelujen varmennukseen BSI:n kriteeriluettelon mukaisesti.

Olemassa olevat riskiarviot, käyttöoikeuksien hallintakeinot, poikkeamamenettelyt ja operatiiviset kirjaukset voivat tukea useampaa kuin yhtä ohjelmaa. Käytä niitä uudelleen versio- ja soveltamisalakohtaisten vastaavuuksien kautta ja tarkista sitten vaatimusten tai raportoinnin erot. Yhteinen hallintakeino ei ole automaattinen vastaavuus viitekehysten välillä.

Valitse varmennusvalikoima todellisten asiakasvaatimusten ja palveluriskien perusteella. C5 ei ole yleisesti pakollinen jokaiselle pilvipalveluntarjoajalle; tarjouskilpailu-, sopimus- tai sovellettavat toimialavaatimukset on arvioitava erikseen. C5-raportti tai mikään muu varmennusasiakirja ei yksinään osoita GDPR:n tai NIS2:n noudattamista.

Valmistele raportti asiakkaiden päätöksiä varten

Asiakkaat tarvitsevat järjestelmäkuvauksen, päivämäärän tai jakson, varsinaisen lausunnon, poikkeamat ja vastuurajat, eivät pelkkää raportin nimeä. Kun jaat raportteja, noudata sopimuksellista luottamuksellisuutta ja anna kontekstia asiakkaan arviointia varten.

Selitä korjaustoimien tila antamatta ymmärtää, että myöhemmät korjaukset muuttaisivat historiallista lausuntoa. Jos raportin jakso edeltää merkittävää arkkitehtuurimuutosta, tuo tämä rajoitus esiin. Sovi toistuvista tarkastuksista asiakkaiden odotusten ja toiminnan muutosten mukaan sen sijaan, että pitäisit varmennusta ajattomana pätevyystodistuksena.

Secani auttaa tiimejä yhdistämään hallintakeinojen toteutuksen ja näytön katselmoituihin vaatimuksiin. Mallinna palvelu ja riippuvuudet, nimeä omistajat ja katselmoijat, liitä tukevat kirjaukset ja muuta näytön puutteet tehtäviksi. Pidä ihmisen hyväksyntä nimenomaisena vastaavuuksien ja johtopäätösten osalta. Auditointivalmiuden malli auttaa säilyttämään kunkin väitteen taustalla olevan soveltamisalan ja vastuun.

Ennen ensimmäistä tarkastusta ratkaistavat kysymykset

Myöntääkö BSI raportin?

BSI julkaisee kriteeriluettelon. Riippumaton tilintarkastaja suorittaa tarkastuksen ja antaa varmennusraportin; varmista sovellettava varmennusviitekehys ja toimeksiannon ehdot kyseisen tilintarkastajan kanssa.

Entä jos todellista poikkeamaa ei tapahtunut?

Älä keksi poikkeamakirjausta. Säilytä näyttö siitä, että prosessi on toteutettu ja tarvittaessa harjoiteltu. Sovi tilintarkastajan kanssa, miten tapahtumien puuttuminen vaikuttaa testaukseen.

Mitä tiimin pitäisi tehdä seuraavaksi?

Valitse yksi edustava tuotantopalvelu ja valmistele sen soveltamisalan kuvaus, vastuumatriisi ja näyttörekisteri. Katselmoi nämä kolme tuotosta tulevan tilintarkastajan kanssa ennen laajan näyttöpaketin kokoamista.