Atestacija C5: pripremite dokaze o jamstvu za usluge u oblaku

Klijent usluge u oblaku želi znati koje zaštite provodi pružatelj, a koje ostaju njegova vlastita odgovornost. Njemački Savezni ured za informacijsku sigurnost (BSI) objavljuje katalog kriterija usklađenosti računalstva u oblaku (Cloud Computing Compliance Criteria Catalogue, C5) kao strukturiranu osnovu za ispitivanje tog jamstva. Za tehničkog direktora (CTO) priprema znači učiniti granicu usluge, provedbu kontrola i operativne zapise provjerljivima, a ne samo prikupiti politike.

C5 je katalog kriterija koji se koristi za neovisnu atestaciju, a ne certifikacija po uzoru na ISO. Dokumentacija BSI-ja o C5 primarni je izvor. Počnite tako da s neovisnim revizorom dogovorite primjenjivo izdanje, cilj jamstva i opseg ispitivanja.

Točno definirajte koju će uslugu izvješće obuhvatiti

Opišite uslugu u oblaku, lokacije rada, organizacijske granice i ovisnosti. Izvješće koje obuhvaća jednu uslugu ne obuhvaća automatski svaki proizvod pod istom robnom markom. Utvrdite produkcijske komponente, upravljačka sučelja, operacije podrške i vanjske usluge koje mogu utjecati na tvrdnje o jamstvu.

Opis sustava treba omogućiti vanjskoj osobi da razumije kako podaci klijenata ulaze u uslugu, kako se kroz nju kreću i kako je napuštaju. Uključite administrativne putove, procese implementacije, sigurnosni nadzor, sigurnosne kopije i podjelu odgovornosti među timovima. Objasnite relevantne značajke usluge i uvjete rada umjesto da narativ zamijenite dijagramima arhitekture.

Prije prikupljanja dokaza razriješite ova pitanja opsega:

• Koji su proizvodi, regije i okruženja uključeni?
• Koji timovi administriraju produkciju ili mogu pristupiti informacijama klijenata?
• Koji temeljni pružatelji podupiru uslugu i kako se tretiraju njihove kontrole?
• Koje konfiguracije i sigurnosni zadaci ostaju na klijentima?
• Koje su se značajne promjene dogodile ili su planirane tijekom razdoblja ispitivanja?

Za isključenja navedite izričito obrazloženje. Ako je zastarjela implementacija isključena, osigurajte da izjave prema klijentima ne sugeriraju da je obuhvaćena. Rezultat je verzionirani opis sustava potkrijepljen zapisima o arhitekturi, ovisnostima i odgovornostima.

Odaberite vrstu izvješća prije određivanja kalendara dokaza

Jamstvo prema C5 u pravilu se izražava revizorovim izvješćem o atestaciji. Type 1 odnosi se na dizajn i provedbu kontrola u određenom trenutku. Type 2 dodatno ispituje operativnu učinkovitost tijekom određenog razdoblja.

Type 1 može biti koristan međukorak pri uspostavi kontrolnog okruženja, ali ne odgovara na isto pitanje kao Type 2. Prije odabira privremenog izvješća potvrdite što klijenti stvarno zahtijevaju.

Razdoblje i očekivanja u pogledu dokaza dogovorite s revizorom. Ne pretpostavljajte univerzalnu duljinu razdoblja promatranja. Postupak napisan pred kraj razdoblja ne može dokazati da je kontrola djelovala ranije. Isto tako, uspješan trenutačni test ne briše povijesni neuspjeh.

Izgradite dokaze oko odgovornosti i izvršenja

Kao praktičnu metodu pripreme, izradite registar dokaza koji svaki primjenjivi kriterij povezuje s provedenom kontrolom, vlasnikom, granicom usluge, izvorom dokaza, učestalošću pregleda i neriješenim nedostacima. Zabilježite odluke o primjenjivosti i njihovo obrazloženje; izbjegavajte označavanje kriterija kao nerelevantnog samo zato što bi provedba bila teška.

Razdvojite tri pitanja: što bi se trebalo događati, što je provedeno i što se stvarno dogodilo. Politika odgovara na prvo. Zapisi o konfiguraciji mogu podupirati drugo. Zahtjevi, zapisnici, odobrenja i rezultati testova podupiru treće.

To su praktični primjeri, a ne potpun kontrolni popis za C5. Za utvrđivanje potrebnog obuhvata, uključujući organizacijske, kadrovske, fizičke i tehničke kontrole, koristite dogovoreni katalog i opseg.

Učinite dokaze ponovljivima

Za svaki izvoz ili snimku zaslona zadržite izvorni sustav, datum prikupljanja, relevantno razdoblje, filtre i osobu koja ih je prikupila. Objasnite predstavlja li cijelu populaciju ili odabranu stavku. Revizori moraju razumjeti populaciju iz koje odabiru uzorke; mapa koja sadrži samo uspješne primjere nije dovoljna.

Dajte prednost zapisima koji čuvaju aktera, vremensku oznaku, radnju i ishod. Zaštitite dokaze od neovlaštene izmjene i izbjegavajte nepotrebno izlaganje podataka klijenata. Ako je potrebno zacrnjivanje, sačuvajte dovoljno konteksta da recenzent razumije što zapis dokazuje.

Odvojite naslijeđene kontrole od zadržanih dužnosti

Jamstvo pružatelja infrastrukture može podupirati fizičku sigurnost ili kontrole temeljne platforme. Ono ne utvrđuje da autorizacija najmoprimaca u vašoj aplikaciji funkcionira. Dokumentirajte ovisnost, opseg relevantnog izvješća, razdoblje, iznimke i odgovornosti koje vaš tim i dalje mora ispuniti.

I komplementarne kontrole klijenata trebaju praktične formulacije. „Klijent je odgovoran za sigurnost“ preširoko je. Navedite zadatke kao što su administracija korisnika najmoprimca, konfiguracija federacije identiteta ili pregled pravila pristupa koja kontrolira klijent. Te odgovornosti držite dosljednima u opisu sustava, dokumentaciji usluge i ugovornim aranžmanima.

Provedite pripremu kao inženjerski program

Počnite s procjenom nedostataka u odnosu na dogovorene kriterije. Razlikujte nedostajuću provedbu od nedostajućih dokaza: oni zahtijevaju različite mjere. Nedokumentirani pregled može zahtijevati bolje zapise; pregled pristupa koji se nikada nije dogodio zahtijeva operativnu kontrolu.

Svakom nedostatku dodijelite vlasnika, radnju otklanjanja, ovisnost i ciljani datum. Prioritete određujte prema rizicima usluge za pitanja koja utječu na odvajanje najmoprimaca, povlašteni pristup, promjene u produkciji, odgovor na incidente i mogućnost oporavka, a ne samo prema najlakšim zadacima dokumentiranja.

Prije razdoblja za Type 2 provjerite imaju li ponavljajuće kontrole izvedive rasporede i trajne zapise. Potvrdite tko ih provodi tijekom odsutnosti ili fluktuacije osoblja. Za kontrole koje pokreću događaji, kao što je prestanak računa, osigurajte da se populacija koja ih pokreće može utvrditi.

Provedite probni prolaz spremnosti s reprezentativnim dokazima. Pratite jednu promjenu od zahtjeva do implementacije, jednog administratora koji odlazi do opoziva i jednu vježbu oporavka do korektivne radnje. Time se otkrivaju prekinute primopredaje koje pregled politika može propustiti.

Tijekom ispitivanja vodite registar zahtjeva s vlasnicima i statusom odgovora. Izvorne zapise držite dostupnima, otvoreno objašnjavajte odstupanja i pratite otklanjanje odvojeno od povijesnih dokaza. Ne prepravljajte stare zapise kako bi izgledali usklađeno. Revizor određuje kako nalazi utječu na testiranje i mišljenje.

Razrađeni primjer: upravljana aplikacija na vanjskoj infrastrukturi

Pretpostavimo, ilustracije radi, da pružatelj upravlja aplikacijom za više najmoprimaca u jednoj regiji, koristi vanjskog pružatelja infrastrukture i traži jamstvo Type 2. Njegov tim kontrolira izdanja aplikacije, ovlasti najmoprimaca, administraciju produkcije i postupke oporavka.

Opis opsega navodi aplikaciju, bazu podataka, upravljačku razinu, alate za podršku i ovisnost o infrastrukturi. Objašnjava koje se temeljne kontrole nasljeđuju, a koje ostaju na pružatelju aplikacije.

Za izolaciju najmoprimaca tim bilježi svoj dizajn autorizacije, automatizirane negativne testove, nalaze sigurnosnih testova i odobrenja izdanja. Čuva i zapise o promjenama koji pokazuju kada se logika autorizacije mijenjala. Izvješće o infrastrukturi potporni je dokaz o ovisnosti, a ne dokaz izolacije aplikacije.

Za povlašteni pristup tim čuva populaciju administratora, odobrenja dodjele, odluke o pregledu i zapise o uklanjanju. Pretpostavimo da pregled otkrije nekorišteni račun za podršku. Tim bilježi otkriće, opoziv, procjenu izloženosti i preventivnu radnju. To je vjerodostojnije od podnošenja samo pročišćenog popisa računa.

Za oporavak čuva rezultat testa vraćanja koji pokazuje što je vraćeno, proteklo vrijeme, provjere cjelovitosti podataka i neriješena ograničenja. Samo konfigurirani posao izrade sigurnosnih kopija ne dokazuje mogućnost oporavka. Svaki skup dokaza ima vlasnika i definirano razdoblje, pa revizor može povezati zapise s kontrolom koja se ispituje.

Ponovno koristite rad na jamstvu bez tvrdnje o jednakovrijednosti

ISO/IEC 27001 odnosi se na sustav upravljanja informacijskom sigurnošću s definiranim opsegom. SOC 2 je izvješće o atestaciji s vlastitim kriterijima i kontekstom izvješćivanja. C5 je usmjeren na jamstvo za usluge u oblaku prema katalogu BSI-ja.

Postojeće procjene rizika, kontrole pristupa, postupci za incidente i operativni zapisi mogu podupirati više programa. Ponovno ih koristite putem mapiranja specifičnih za verziju i opseg, a zatim provjerite razlike u zahtjevima ili izvješćivanju. Zajednička kontrola ne znači automatsku jednakovrijednost između okvira.

Portfelj jamstva odaberite prema stvarnim zahtjevima klijenata i rizicima usluge. C5 nije univerzalno obvezan za svakog pružatelja usluga u oblaku; zahtjevi iz natječaja, ugovora ili primjenjivih sektorskih propisa trebaju zaseban pregled. Ni izvješće C5 ni drugi dokument o jamstvu sami po sebi ne utvrđuju usklađenost s Općom uredbom o zaštiti podataka (GDPR) ili Direktivom NIS2.

Pripremite izvješće za odluke klijenata

Klijentima trebaju opis sustava, datum ili razdoblje, stvarno mišljenje, iznimke i granice odgovornosti, a ne samo oznaka izvješća. Pri dijeljenju izvješća poštujte ugovornu povjerljivost i pružite kontekst za procjenu klijenta.

Objasnite status otklanjanja, a da ne sugerirate da naknadni ispravci mijenjaju povijesno mišljenje. Ako razdoblje izvješća prethodi velikoj promjeni arhitekture, navedite to ograničenje. Ponavljajuća ispitivanja dogovarajte prema očekivanjima klijenata i operativnim promjenama umjesto da atestaciju tretirate kao vjerodajnicu bez vremenskog ograničenja.

Secani pomaže timovima povezati provedbu kontrola i dokaze s pregledanim zahtjevima. Modelirajte uslugu i ovisnosti, dodijelite vlasnike i recenzente, priložite potporne zapise i pretvorite nedostatke u dokazima u zadatke. Ljudsko odobrenje mapiranja i zaključaka neka ostane izričito. Model spremnosti za audit pomaže sačuvati opseg i odgovornost iza svake tvrdnje.

Pitanja koja treba razriješiti prije prvog ispitivanja

Izdaje li BSI izvješće?

BSI objavljuje katalog. Neovisni revizor provodi ispitivanje i izdaje izvješće o atestaciji; s tim revizorom potvrdite primjenjivi okvir jamstva i uvjete angažmana.

Što ako se nije dogodio nijedan stvarni incident?

Ne izmišljajte zapis o incidentu. Sačuvajte dokaze da je proces proveden i, gdje je primjereno, uvježban. S revizorom dogovorite kako izostanak događaja utječe na testiranje.

Što bi tim trebao učiniti sljedeće?

Uzmite jednu reprezentativnu produkcijsku uslugu i pripremite njezin opis opsega, matricu odgovornosti i registar dokaza. Ta tri rezultata pregledajte s budućim revizorom prije prikupljanja velikog paketa dokaza.