C5-attesztáció: készítse elő a felhőalapú bizonyossági bizonyítékokat

Egy felhőügyfél tudni szeretné, mely védelmi intézkedéseket működteti a szolgáltató, és melyek maradnak a saját felelősségi körében. A német Szövetségi Információbiztonsági Hivatal (BSI) a Cloud Computing Compliance Criteria Catalogue-ot, röviden C5-öt, ennek a bizonyosságnak a vizsgálatára szolgáló strukturált alapként teszi közzé. A technológiai igazgató számára a felkészülés azt jelenti, hogy a szolgáltatás határát, a kontrollok megvalósítását és a működési rekordokat átvizsgálhatóvá teszi – nem pusztán szabályzatokat gyűjt össze.

A C5 független attesztációhoz használt kritériumkatalógus, nem ISO-típusú tanúsítás. Az elsődleges hivatkozás a BSI C5-dokumentációja. Kezdje azzal, hogy a független auditorral egyeztetik az alkalmazandó kiadást, a bizonyossági célt és a vizsgálat hatókörét.

Határozza meg pontosan, melyik szolgáltatásra terjed ki a jelentés

Írja le a felhőszolgáltatást, a működési helyszíneket, a szervezeti határokat és a függőségeket. Egy szolgáltatásra kiterjedő jelentés nem fedi le automatikusan az ugyanazon márkanév alatti összes terméket. Azonosítsa az éles összetevőket, a felügyeleti felületeket, a támogatási tevékenységeket és azokat a külső szolgáltatásokat, amelyek befolyásolhatják a bizonyossági állításokat.

A rendszerleírásnak lehetővé kell tennie egy kívülálló számára, hogy megértse, hogyan kerülnek be az ügyféladatok a szolgáltatásba, hogyan mozognak benne, és hogyan hagyják el. Vegye fel az adminisztrációs útvonalakat, a telepítési folyamatokat, a biztonsági monitorozást, a biztonsági mentéseket és a csapatok közötti felelősségmegosztást. A releváns szolgáltatási jellemzőket és működési feltételeket magyarázza el, ahelyett hogy az architektúraábrákkal helyettesítené a szöveges leírást.

A bizonyítékgyűjtés előtt tisztázza ezeket a hatóköri kérdéseket:

• Mely termékek, régiók és környezetek tartoznak a hatókörbe?
• Mely csapatok adminisztrálják az éles környezetet, vagy férhetnek hozzá ügyfélinformációkhoz?
• Mely mögöttes szolgáltatók támogatják a szolgáltatást, és hogyan kezelik azok kontrolljait?
• Mely konfigurációs és biztonsági feladatok maradnak az ügyfeleknél?
• Milyen lényeges változások történtek vagy vannak tervben a vizsgálati időszak alatt?

A kizárásokat kifejezetten indokolja. Ha egy régi telepítést kizárnak, gondoskodjon arról, hogy az ügyfeleknek szóló nyilatkozatok ne sugallják, hogy az is a hatókörbe tartozik. Az eredmény egy verziózott rendszerleírás, amelyet architektúra-, függőségi és felelősségi rekordok támasztanak alá.

A jelentés típusát a bizonyítéki naptár meghatározása előtt válassza ki

A C5 szerinti bizonyosságot általában egy auditor attesztációs jelentése fejezi ki. Az 1. típus a kontrollok kialakítását és megvalósítását egy adott időpontra vonatkozóan vizsgálja. A 2. típus emellett a működési hatékonyságot is vizsgálja egy meghatározott időszakon keresztül.

Az 1. típus hasznos mérföldkő lehet egy kontrollkörnyezet kialakításakor, de nem ugyanarra a kérdésre válaszol, mint a 2. típus. Mielőtt egy átmeneti jelentést választana, erősítse meg, mit követelnek meg ténylegesen az ügyfelek.

Az időszakot és a bizonyítékokra vonatkozó elvárásokat egyeztesse az auditorral. Ne feltételezzen általános megfigyelési időtartamot. Egy időszak vége felé megírt eljárás nem igazolhatja, hogy a kontroll korábban működött. Ugyanígy egy sikeres jelenlegi teszt nem törli el egy korábbi hibát.

Építse a bizonyítékokat a felelősség és a végrehajtás köré

Gyakorlati felkészülési módszerként készítsen bizonyítéknyilvántartást, amely minden alkalmazandó kritériumot összekapcsol a megvalósított kontrollal, a felelőssel, a szolgáltatás határával, a bizonyíték forrásával, a felülvizsgálat gyakoriságával és a nyitott hiányosságokkal. Rögzítse az alkalmazhatósági döntéseket és azok indoklását; kerülje, hogy egy kritériumot pusztán azért jelöljön irrelevánsnak, mert a megvalósítása nehéz lenne.

Válasszon szét három kérdést: minek kellene történnie, mi van megvalósítva, és mi történt ténylegesen. Egy szabályzat az elsőre válaszol. A konfigurációs rekordok a másodikat támaszthatják alá. A jegyek, naplók, jóváhagyások és teszteredmények a harmadikat.

Ezek gyakorlati példák, nem teljes C5 ellenőrzőlista. A szükséges lefedettséget – beleértve a szervezeti, személyi, fizikai és műszaki kontrollokat – az egyeztetett katalógus és hatókör alapján határozza meg.

Tegye reprodukálhatóvá a bizonyítékokat

Minden exportnál vagy képernyőképnél őrizze meg a forrásrendszert, a gyűjtés dátumát, a vonatkozó időszakot, a szűrőket és a gyűjtő személyét. Magyarázza el, hogy a teljes populációt vagy egy kiválasztott elemet képvisel-e. Az auditoroknak meg kell érteniük azt a populációt, amelyből a mintákat kiválasztják; egy csak sikeres példákat tartalmazó mappa nem elegendő.

Részesítse előnyben azokat a rekordokat, amelyek megőrzik a szereplőt, az időbélyeget, a műveletet és az eredményt. Védje a bizonyítékokat a jogosulatlan módosítással szemben, és kerülje az ügyféladatok szükségtelen kitettségét. Ahol kitakarásra van szükség, őrizzen meg elegendő kontextust ahhoz, hogy a felülvizsgáló megértse, mit bizonyít a rekord.

Válassza szét az örökölt kontrollokat a megmaradó kötelezettségektől

Egy infrastruktúra-szolgáltató bizonyossága alátámaszthatja a fizikai biztonságot vagy a mögöttes platformkontrollokat. Azt azonban nem igazolja, hogy az Ön alkalmazásának bérlői szintű jogosultságkezelése működik. Dokumentálja a függőséget, a vonatkozó jelentés hatókörét, időszakát, kivételeit, valamint azokat a felelősségi köröket, amelyeket csapatának továbbra is teljesítenie kell.

A kiegészítő ügyféloldali kontrollok is gyakorlati megfogalmazást igényelnek. Az, hogy „a biztonságért az ügyfél felel”, túl tág. Határozzon meg olyan feladatokat, mint a bérlői felhasználók adminisztrálása, az identitásföderáció konfigurálása vagy az ügyfél által kezelt hozzáférési szabályzatok felülvizsgálata. Ezeket a felelősségi köröket tartsa összhangban a rendszerleírásban, a szolgáltatási dokumentációban és a szerződéses megállapodásokban.

A felkészülést mérnöki programként vezesse

Kezdjen az egyeztetett kritériumok szerinti hiányosságfelméréssel. Különböztesse meg a hiányzó megvalósítást a hiányzó bizonyítéktól: ezek eltérő megoldást igényelnek. Egy nem dokumentált felülvizsgálathoz jobb rekordokra lehet szükség; egy soha meg nem történt hozzáférés-felülvizsgálathoz működő kontrollra.

Minden hiányossághoz rendeljen felelőst, javító intézkedést, függőséget és céldátumot. A szolgáltatás kockázatai szerint részesítse előnyben a bérlők elkülönítését, a kiemelt hozzáférést, az éles változtatásokat, az incidenskezelést és a helyreállíthatóságot érintő problémákat – ne csupán a legkönnyebb dokumentációs feladatokat.

A 2. típusú időszak előtt ellenőrizze, hogy az ismétlődő kontrollok ütemezése működőképes-e, rekordjaik pedig tartósak-e. Erősítse meg, ki végzi el őket távollét vagy munkatársak cserélődése esetén. Az eseményvezérelt kontrolloknál, például a fiókok megszüntetésénél, gondoskodjon arról, hogy a kiváltó populáció azonosítható legyen.

Tartson felkészültségi bejárást reprezentatív bizonyítékokkal. Kövessen végig egy változást a kérelemtől a telepítésig, egy távozó rendszergazdát a visszavonásig, és egy helyreállítási gyakorlatot a korrekciós intézkedésig. Ez feltárja azokat a megszakadt átadási pontokat, amelyeket egy szabályzat-felülvizsgálat esetleg nem vesz észre.

A vizsgálat alatt vezessen kérésnyilvántartást felelősökkel és a válaszok állapotával. Tartsa elérhetően az eredeti rekordokat, nyíltan magyarázza el az eltéréseket, és a javításokat a korábbi bizonyítékoktól külön kövesse nyomon. Ne írja át a régi rekordokat azért, hogy megfelelőnek tűnjenek. Azt, hogy a megállapítások hogyan befolyásolják a tesztelést és a véleményt, az auditor határozza meg.

Kidolgozott példa: menedzselt alkalmazás külső infrastruktúrán

Tegyük fel szemléltetésként, hogy egy szolgáltató egy régióban üzemeltet egy több bérlős alkalmazást, külső infrastruktúra-szolgáltatót használ, és 2. típusú bizonyosságot kíván szerezni. Csapata felügyeli az alkalmazáskiadásokat, a bérlői jogosultságokat, az éles adminisztrációt és a helyreállítási eljárásokat.

A hatóköri leírás azonosítja az alkalmazást, az adatbázist, a felügyeleti síkot, a támogatási eszközöket és az infrastruktúra-függőséget. Elmagyarázza, mely mögöttes kontrollok öröklődnek, és melyek maradnak az alkalmazásszolgáltatónál.

A bérlők elkülönítéséhez a csapat rögzíti a jogosultságkezelés kialakítását, az automatizált negatív teszteket, a biztonsági tesztek megállapításait és a kiadási jóváhagyásokat. Megőrzi azokat a változásrekordokat is, amelyek mutatják, mikor változott a jogosultságkezelési logika. Az infrastruktúra-jelentés a függőséget alátámasztó bizonyíték, nem az alkalmazásszintű elkülönítés bizonyítéka.

A kiemelt hozzáféréshez a csapat megőrzi a rendszergazdák populációját, a jogosultság-kiosztási jóváhagyásokat, a felülvizsgálati döntéseket és a visszavonási rekordokat. Tegyük fel, hogy egy felülvizsgálat feltár egy nem használt támogatási fiókot. A csapat rögzíti a felfedezést, a visszavonást, a kitettség értékelését és a megelőző intézkedést. Ez hitelesebb, mint ha csak a megtisztított fióklistát nyújtaná be.

A helyreállításhoz megőriz egy visszaállítási teszteredményt, amely mutatja, mit állítottak vissza, mennyi idő telt el, milyen adatintegritás-ellenőrzéseket végeztek, és milyen korlátok maradtak nyitva. Egy beállított mentési feladat önmagában nem bizonyítja a helyreállíthatóságot. Minden bizonyítékkészletnek van felelőse és meghatározott időszaka, így az auditor össze tudja kapcsolni a rekordokat a vizsgált kontrollal.

Használja fel újra a bizonyossági munkát az egyenértékűség állítása nélkül

Az ISO/IEC 27001 egy meghatározott hatókörű információbiztonsági irányítási rendszerre vonatkozik. A SOC 2 saját kritériumokat és jelentéstételi kontextust használó attesztációs jelentés. A C5 a felhőszolgáltatások BSI-katalógus szerinti bizonyosságára összpontosít.

A meglévő kockázatértékelések, hozzáférési kontrollok, incidenskezelési eljárások és működési rekordok több programot is támogathatnak. Használja fel újra őket verzió- és hatókör-specifikus megfeleltetéseken keresztül, majd ellenőrizze a követelményekben vagy a jelentéstételben mutatkozó különbségeket. Egy közös kontroll nem jelent automatikus egyenértékűséget a keretrendszerek között.

A bizonyossági portfóliót a tényleges ügyfélkövetelmények és a szolgáltatási kockázatok alapján válassza meg. A C5 nem általánosan kötelező minden felhőszolgáltató számára; a pályázati, szerződéses vagy alkalmazandó ágazati követelményeket külön kell megvizsgálni. Sem egy C5-jelentés, sem más bizonyossági dokumentum nem igazolja önmagában a GDPR- vagy a NIS2-megfelelést.

Készítse elő a jelentést az ügyféldöntésekhez

Az ügyfeleknek a rendszerleírásra, a dátumra vagy időszakra, a tényleges véleményre, a kivételekre és a felelősségi határokra van szükségük – nem csak a jelentés megnevezésére. A jelentések megosztásakor tartsa tiszteletben a szerződéses titoktartást, és adjon kontextust az ügyfél értékeléséhez.

A javítások állapotát úgy magyarázza el, hogy ne sugallja, hogy a későbbi javítások megváltoztatják a korábbi véleményt. Ha a jelentés időszaka egy jelentős architekturális változás előtti, jelölje meg ezt a korlátot. Az ismétlődő vizsgálatokat az ügyfélelvárások és a működési változások köré egyeztesse, ahelyett hogy az attesztációt időtlen minősítésként kezelné.

A Secani segít a csapatoknak a kontrollok megvalósítását és a bizonyítékokat felülvizsgált követelményekhez kapcsolni. Modellezze a szolgáltatást és a függőségeket, jelöljön ki felelősöket és felülvizsgálókat, csatolja az alátámasztó rekordokat, és alakítsa a bizonyítéki hiányosságokat feladatokká. A megfeleltetésekhez és a következtetésekhez tartsa meg a kifejezett emberi jóváhagyást. Az auditfelkészültségi modell segít megőrizni az egyes állítások mögötti hatókört és felelősséget.

Az első vizsgálat előtt tisztázandó kérdések

A BSI állítja ki a jelentést?

A BSI a katalógust teszi közzé. A vizsgálatot egy független auditor végzi, és ő állítja ki az attesztációs jelentést; az alkalmazandó bizonyossági keretrendszert és a megbízási feltételeket ezzel az auditorral erősítse meg.

Mi a teendő, ha nem történt valódi incidens?

Ne találjon ki incidensrekordot. Őrizze meg azokat a bizonyítékokat, amelyek mutatják, hogy a folyamatot megvalósították, és – ahol indokolt – gyakorolták. Az auditorral egyeztesse, hogyan befolyásolja az események hiánya a tesztelést.

Mi legyen a csapat következő lépése?

Vegyen egy reprezentatív éles szolgáltatást, és készítse el annak hatóköri leírását, felelősségi mátrixát és bizonyítéknyilvántartását. Ezt a három eredményterméket vizsgálja át a leendő auditorral, mielőtt egy nagy bizonyítékcsomagot állítana össze.