BSI C5.
Ismerje meg a felhőszolgáltatások kritériumkatalógusát, válasszon megfelelő jelentéstípust, és tisztázza a szolgáltató és az ügyfél felelősségét.
- BSI C5:2026 · C5:2020 az átmeneti időszakban
- Szerző: Jonathan Bezdek
- Állapot: 2026. 10. 22.
- Olvasási idő: 7 perc
Rövid válasz.
A BSI C5 a felhőszolgáltatások információbiztonsági kritériumkatalógusa. Független könyvvizsgáló vizsgálja meg a leírt szolgáltatást, és vizsgálati jelentéssel ellátott bizonyosságot nyújtó véleményt készít. A C5:2026 megkülönbözteti az adott időpontra vonatkozó állításokat a működési hatékonyság időszakos kiegészítő vizsgálatától. Az ügyfelek maguk értékelik a jelentést és fennmaradó biztonsági feladataikat; a BSI nem állít ki tanúsítványt.
A BSI C5 és a felhőbiztonság kritériumkatalógusa.
A BSI C5 közös alapot teremt a felhőszolgáltatások biztonsági vállalásainak vizsgálatához és megítéléséhez. Teljes neve Cloud Computing Compliance Criteria Catalogue. A katalógust a BSI teszi közzé; a vizsgálatra a szolgáltató ad megbízást könyvvizsgálónak. A BSI bevezető oldala kifejezetten elkülöníti ezeket a szerepeket: a hatóság nem választja ki a vizsgálókat és nem értékeli az egyes jelentéseket.
A közzétett változat a C5:2026. Az átmenet során a C5:2020 bizonyos vizsgálatoknál továbbra is releváns marad. Ezért a kiadást, a jelentéstípust és az időbeli határt együtt kell tisztázni a megbízásnál. Egy olyan megjelölés, mint a „C5 szerint vizsgált”, nyitva hagyja, mely szolgáltatást milyen feltételekkel vizsgálták; beszerzési döntéshez nem elegendő.
A C5:2026 3.5. szakasza az új kiadást a 2027. június 1-jétől esedékes Type 1 fordulónapokra és az ettől a naptól kezdődő Type 2 vizsgálati időszakokra írja elő; korábbi alkalmazás is lehetséges. Az előbb kezdődő, de ezen a napon túlnyúló Type 2 időszakokat még egységesen a C5:2020 szerint kell vizsgálni. A 2027. február 28-tól záruló időszakokra már további adatokat ír elő a tervezett kontrollváltozásokról. A konkrét átmeneti helyzetet egyeztesse a vizsgálóval.
Kinek releváns a C5-vélemény?
A felhőszolgáltatók a C5 segítségével teszik követhetővé ügyfeleik számára egy lehatárolt szolgáltatás biztonsági munkáját. Az ügyfelek és beszerzési csapatok információkat kapnak saját kockázatértékelésükhöz. A jelentés infrastruktúrára, platformokra vagy szoftverre vonatkozhat; a tényleges terjedelme a meghatározó. A BSI GYIK szerint az állítás a vizsgált szolgáltatásokra és régiókra érvényes, nem általánosan egy csoport összes ajánlatára.
A C5-vélemény szükségessége az adott felhasználástól és előírásaitól függ. Külön vizsgálja az ügyfélszerződéseket, beszerzési feltételeket és alkalmazandó ágazati szabályokat. Egy meglévő jelentés azt sem válaszolja meg automatikusan, hogy a szolgáltatás alkalmas-e különösen védendő információk kezelésére. A BSI bevezető oldala az ügyfél feladatává teszi saját követelményei és a fennmaradó kockázatok értékelését.
Milyen munkát kapcsol össze a C5-kritériumkatalógus?
A C5 a felhőszolgáltatás biztonsági szervezetét, működési feltételeit és a feladatmegosztást vizsgálja. A következő hat munkaterület gyakorlati tájékozódást nyújt a felkészüléshez; sem az 5. fejezet kritériumait, sem az egyeztetett vizsgálattervezést nem helyettesíti.
A felelősség rögzítése a szolgáltatásban.
Rendelje az illetékes személyekhez a döntéseket, operatív feladatokat és felülvizsgálatokat. A szervezeti leírásból ki kell derülnie, ki jogosult eltérés esetén cselekedni, és ki követi az elhárítást. Ez elkerüli azt a feltételezést, hogy a koordináló biztonsági funkció önmagában átvesz minden működési feladatot.
A szolgáltatás és a függőségek lehatárolása.
Írja le, mely szolgáltatások, régiók és támogató szolgáltatók tartoznak az állításhoz. Egy technikai függőség akkor is lényeges lehet a biztonság szempontjából, ha szerződésesen kiszervezték. Követhetően rögzítse, milyen garanciákat kap másoktól, és milyen feladatok maradnak a saját működésében.
A hozzáférések és információk védelme.
Vizsgálja az ügyfélinformációk kezelését a tényleges szolgáltatás mentén. A gyakorlati helyzetfelméréshez hozzátartoznak a felhasználói és adminisztrációs útvonalak, valamint a konfigurációért és jogosultságokért viselt felelősség. Vizsgálja a szolgáltató és ügyfél közötti átadásokat is; egy biztonságosan működtetett alapinfrastruktúra önmagában nem válaszolja meg az ügyfél konfigurációs kérdéseit.
A működés és változások követhetősége.
Kapcsolja össze a meghatározott eljárásokat az alkalmazásukból származó feljegyzésekkel. Egy szolgáltatásváltozás más bizonyítékokat és felelősöket érinthet, mint egy változatlan működési szakasz. A felkészülésnél ezért hasznos időben elhelyezni a releváns változásokat és elérhetően tartani a megfelelő iratokat, ahelyett hogy csupán a mai állapotot mutatná be.
Felkészülés a zavarokra.
Tisztázza az incidensek, a kommunikáció és az újraindítás felelősségi köreit. Egy gyakorlati próba megmutathatja, működnek-e az átadások és eszkalációk. Jelölje gyakorlatként a próbákat, és őrizze meg az eredményeket; kitalált események nem jelenhetnek meg történeti működési bizonyítékként. A bizonyítékok részletes megszervezésével a meglévő C5-blogbejegyzés foglalkozik.
Átláthatóság biztosítása az ügyfeleknek.
A C5:2026 4. fejezete az ügyfélértékeléshez szükséges keretfeltételeket írja le. Úgy ismertesse a vizsgálati terjedelmet és a fennmaradó ügyfélfeladatokat, hogy az olvasók el tudják helyezni saját használatukat. Egy általános biztonsági állítás kevésbé segít, mint a konkrét felelősségi határ és a lehetséges korlátozások érthető leírása.
A C5-véleményhez vezető út.
Az igazolási igény tisztázása.
Gyakorlati kezdésként mérje fel, mely ügyfelek mely szolgáltatásról várnak jelentést, és milyen kiadás, jelentéstípus és időbeli határ illeszkedik ehhez.
A vizsgálati terjedelem leírása.
Úgy határolja le a szolgáltatásokat, régiókat, részt vevő szervezeteket és függőségeket, hogy a tervezett vizsgáló megítélhesse a megbízást és kapcsolódási pontjait.
A kontrollok működtetésének előkészítése.
Tisztázza az alkalmazandó kritériumokat és felelősségi köröket az illetékes csapatokkal, és a tervezett vizsgálati időszak kezdete előtt egyeztesse az elvárt bizonyítékokat.
A működési feljegyzések megőrzése.
Őrizzen meg követhető bizonyítékokat az egyeztetett időbeli határhoz, és a változásokat, valamint a feltárt eltéréseket tényleges lefolyásukkal rögzítse.
Független vizsgálat megrendelése.
Bízzon meg megfelelő könyvvizsgálót, és magyarázza el a meglévő iratokat anélkül, hogy a későbbi fejlesztéseket korábbi kontrollállapotként mutatná be.
A jelentés értékelése és folyamatos frissítése.
Ügyfélszempontból együtt vizsgálja az állítást, terjedelmet, időszakot és korlátozásokat, és állapodjon meg a folyamatos használat további igazolási lefedettségéről.
Mit bizonyít a C5-vélemény?
A C5-vélemény a leírt felhőszolgáltatás független vizsgálatának eredményét tartalmazza. A C5:2026 3.4.4. szakasza szerint a Type 1 egy adott fordulónapon vizsgálja a kialakítást és bevezetést; a Type 2 ezenfelül egy időszakon át a működési hatékonyságot is magában foglalja. Az adott időpontra szóló jelentés ezért más kérdésre válaszol, mint a folyamatos működésről szóló.
A Type 2 nem igényel előzetes Type 1 jelentést. A C5:2026 3.4.11. szakasza a Type 1-et csak az első vizsgálatra irányozza elő. A megfelelő vizsgálat a megbízástól, kiinduló helyzettől és igazolási igénytől függ. A teljes jelentést és korlátozásait a rendszerleírással együtt vizsgálja; egy címlap vagy szolgáltatói bemutató nem helyettesítheti ezt az értékelést.
A C5-véleménynek nincs a tanúsítványok mintájára általános érvényességi ideje. A megadott fordulónapra vagy időszakra vonatkozik. A BSI GYIK kifejti, hogy egy régebbi jelentés a mai kockázatértékeléshez veszíthet bizonyító erejéből. Az új régiók, lényeges szolgáltatásváltozások vagy az időbeli igazolási lefedettség hiánya ezért része az aktuális ügyféldöntésnek.
Más keretrendszerek elhelyezése.
Az ISO 27001 az információbiztonság-irányítási rendszerre és lehetséges tanúsítására vonatkozik. A SOC 2 önálló jelentési rendszer, eltérő kritériumokkal és megbízási feltételekkel. A GDPR személyes adatok esetén jogszabályi kötelezettségeket alapoz meg; a C5-vélemény nem helyettesíti ezek vizsgálatát és az adatkezelő feladatait.
A Secaniban.
A Secani saját szerkesztésű munkasegédletet biztosít a BSI C5:2026-hoz. A profiladatok többek között a felhőszolgáltatót, a felhőügyfelet, a kiegészítő kritériumokat, a Type 2 vizsgálatot és az alvállalkozó szolgáltatókat rögzítik. A katalógus támogatja a strukturált feldolgozást; nem hivatalos fordítás és nem bizonyosságot nyújtó vélemény. A szakmai megítélés és a független vizsgálati döntés önálló feladat marad.
Induljon egy lehatárolt felhőszolgáltatással.
Válasszon egy konkrétan megnevezett szolgáltatást, és rögzítse az ügyféligényt. Írja le a régiót, felelősségi köröket és lényeges függőségeket. Ezután tisztázza a tervezett vizsgálóval, mely kiadás és jelentéstípus szükséges ehhez az állításhoz. Így megalapozott alap születik a további felkészüléshez.
Gyakori kérdések.
Nem. A BSI a kritériumkatalógust teszi közzé; a vizsgálati jelentést és a bizonyosságot nyújtó véleményt a megbízott könyvvizsgáló készíti el. Ennek során BSI-tanúsítványt nem állítanak ki.
A Type 1 a kialakítást és bevezetést vizsgálja egy adott fordulónapon. A Type 2 ezenfelül a megadott időszak működési hatékonyságát is vizsgálja; ehhez nem szükséges előzetes Type 1 jelentés.
Általános időtartam nem adható meg. A jelentés a saját fordulónapjára vagy időszakára vonatkozik; az ügyfeleknek kell megítélniük, hogy illeszkedik-e az aktuális használathoz, változásokhoz és szükséges igazolási lefedettséghez.
Nem. Az ügyfeleknek továbbra is értékelniük és kezelniük kell a saját felelősségi körükben maradó feladatokat és kockázatokat. Ide tartozik a jelentés tényleges terjedelmének összevetése a saját használattal.
Határolja le a felhőszolgáltatást.
Beszéljük meg, hogyan dolgozhat a Secani saját szerkesztésű C5-katalógusával.
Ez az oldal általánosságban mutatja be a C5-öt, és sem az eredeti katalógust, sem a szakmai vizsgálatot nem helyettesíti. Az egyeztetett kiadás, a konkrét vizsgálati megbízás és az alkalmazandó előírások az irányadók.