C5 atestavimas: parenkite debesijos užtikrinimo įrodymus

Debesijos paslaugų klientas nori žinoti, kokias apsaugos priemones valdo paslaugų teikėjas, o kurios lieka jo paties atsakomybė. Vokietijos federalinė informacijos saugumo tarnyba (BSI) skelbia Debesijos kompiuterijos atitikties kriterijų katalogą C5 kaip struktūrizuotą pagrindą tokiam užtikrinimui tikrinti. Technologijų vadovui (CTO) pasirengimas reiškia padaryti paslaugos ribą, kontrolių įgyvendinimą ir veiklos įrašus patikrinamus, o ne tik surinkti politikas.

C5 yra kriterijų katalogas, naudojamas nepriklausomam atestavimui, o ne ISO tipo sertifikavimas. Pagrindinis šaltinis yra BSI C5 dokumentacija. Pradėkite nuo to, kad su nepriklausomu auditoriumi suderintumėte taikomą leidimą, užtikrinimo tikslą ir tikrinimo apimtį.

Tiksliai apibrėžkite, kurią paslaugą apims ataskaita

Aprašykite debesijos paslaugą, veiklos vietas, organizacines ribas ir priklausomybes. Vienos paslaugos ataskaita savaime neapima visų to paties prekės ženklo produktų. Nustatykite gamybinius komponentus, valdymo sąsajas, aptarnavimo veiklą ir išorines paslaugas, kurios gali paveikti užtikrinimo teiginius.

Sistemos aprašymas turėtų leisti pašaliniam asmeniui suprasti, kaip kliento duomenys patenka į paslaugą, juda joje ir ją palieka. Įtraukite administravimo kelius, diegimo procesus, saugumo stebėseną, atsargines kopijas ir atsakomybės pasiskirstymą tarp komandų. Paaiškinkite svarbias paslaugos savybes ir veikimo sąlygas, o ne pakeiskite pasakojimą architektūros diagramomis.

Prieš rinkdami įrodymus, išspręskite šiuos taikymo srities klausimus:

• Kurie produktai, regionai ir aplinkos įtraukti?
• Kurios komandos administruoja gamybinę aplinką arba gali pasiekti kliento informaciją?
• Kurie pagrindiniai paslaugų teikėjai palaiko paslaugą ir kaip vertinamos jų kontrolės?
• Kurios konfigūracijos ir saugumo užduotys lieka klientams?
• Kokie reikšmingi pakeitimai įvyko arba planuojami tikrinimo laikotarpiu?

Išimtis aiškiai pagrįskite. Jei senas diegimas neįtrauktas, užtikrinkite, kad klientams skirti teiginiai nesudarytų įspūdžio, jog jis yra apimtas. Rezultatas yra versijuojamas sistemos aprašymas, pagrįstas architektūros, priklausomybių ir atsakomybės įrašais.

Pasirinkite ataskaitos tipą prieš sudarydami įrodymų kalendorių

C5 užtikrinimas paprastai išreiškiamas auditoriaus atestavimo ataskaita. 1 tipas apima kontrolių projektavimą ir įgyvendinimą tam tikru momentu. 2 tipas papildomai tikrina veiklos veiksmingumą per nustatytą laikotarpį.

1 tipas gali būti naudingas etapas kuriant kontrolės aplinką, tačiau jis neatsako į tą patį klausimą kaip 2 tipas. Prieš rinkdamiesi tarpinę ataskaitą, pasitikslinkite, ko klientams iš tikrųjų reikia.

Laikotarpį ir lūkesčius dėl įrodymų suderinkite su auditoriumi. Neprisiimkite, kad yra visuotinė stebėjimo trukmė. Procedūra, parašyta laikotarpio pabaigoje, negali įrodyti, kad kontrolė veikė anksčiau. Taip pat sėkmingas dabartinis testas neištrina istorinio sutrikimo.

Kurkite įrodymus aplink atsakomybę ir vykdymą

Kaip praktinį pasirengimo metodą sudarykite įrodymų registrą, kuris kiekvieną taikomą kriterijų susieja su įgyvendinta kontrole, atsakingu asmeniu, paslaugos riba, įrodymų šaltiniu, peržiūros dažnumu ir neišspręstomis spragomis. Užfiksuokite sprendimus dėl taikymo ir jų pagrindimą; nežymėkite kriterijaus kaip nesvarbaus vien todėl, kad jį įgyvendinti būtų sunku.

Atskirkite tris klausimus: kas turėtų vykti, kas įgyvendinta ir kas iš tikrųjų įvyko. Politika atsako į pirmąjį. Konfigūracijos įrašai gali pagrįsti antrąjį. Užklausos, žurnalai, patvirtinimai ir testų rezultatai pagrindžia trečiąjį.

Tai praktiniai pavyzdžiai, o ne išsamus C5 kontrolinis sąrašas. Reikalaujamą aprėptį, įskaitant organizacines, personalo, fizines ir technines kontroles, nustatykite pagal suderintą katalogą ir taikymo sritį.

Padarykite įrodymus atkuriamus

Kiekvienam eksportui ar ekrano kopijai išsaugokite šaltinio sistemą, surinkimo datą, atitinkamą laikotarpį, filtrus ir surinkusį asmenį. Paaiškinkite, ar tai visa populiacija, ar atrinktas elementas. Auditoriams reikia suprasti populiaciją, iš kurios jie atrenka imtis; aplanko, kuriame yra tik sėkmingi pavyzdžiai, nepakanka.

Teikite pirmenybę įrašams, kuriuose išsaugomas veikėjas, laiko žyma, veiksmas ir rezultatas. Apsaugokite įrodymus nuo neteisėto keitimo ir venkite nereikalingo kliento duomenų atskleidimo. Kai reikia užtamsinti informaciją, išsaugokite pakankamai konteksto, kad tikrintojas suprastų, ką įrašas įrodo.

Atskirkite paveldėtas kontroles nuo išlikusių pareigų

Infrastruktūros paslaugų teikėjo užtikrinimas gali pagrįsti fizinį saugumą ar pagrindinės platformos kontroles. Jis neįrodo, kad jūsų programos nuomininkų autorizacija veikia. Dokumentuokite priklausomybę, atitinkamą ataskaitos taikymo sritį, laikotarpį, išimtis ir atsakomybes, kurias jūsų komanda vis dar turi vykdyti.

Papildomoms kliento kontrolėms taip pat reikia praktiškos formuluotės. „Klientas atsakingas už saugumą“ yra per plačiai. Nurodykite tokias užduotis kaip nuomininko naudotojų administravimas, tapatybių federacijos konfigūravimas ar kliento valdomų prieigos politikų peržiūra. Išlaikykite šias atsakomybes nuoseklias sistemos aprašyme, paslaugos dokumentacijoje ir sutartiniuose susitarimuose.

Vykdykite pasirengimą kaip inžinerinę programą

Pradėkite nuo spragų vertinimo pagal suderintus kriterijus. Atskirkite trūkstamą įgyvendinimą nuo trūkstamų įrodymų: joms reikia skirtingų sprendimų. Nedokumentuotai peržiūrai gali prireikti geresnių įrašų; niekada neįvykusiai prieigos peržiūrai reikia veiklos kontrolės.

Kiekvienai spragai priskirkite atsakingą asmenį, taisomąjį veiksmą, priklausomybę ir tikslinę datą. Prioritetą teikite klausimams, darantiems įtaką nuomininkų atskyrimui, privilegijuotai prieigai, gamybiniams pakeitimams, reagavimui į incidentus ir atkuriamumui pagal paslaugos rizikas, o ne vien lengviausioms dokumentavimo užduotims.

Prieš 2 tipo laikotarpį patikrinkite, ar pasikartojančios kontrolės turi įgyvendinamus tvarkaraščius ir patvarius įrašus. Pasitikslinkite, kas jas atlieka nebuvimo ar darbuotojų kaitos atveju. Įvykių inicijuojamoms kontrolėms, pavyzdžiui, paskyros panaikinimui, užtikrinkite, kad inicijuojančią populiaciją būtų galima nustatyti.

Atlikite pasirengimo peržiūrą su reprezentatyviais įrodymais. Atsekite vieną pakeitimą nuo prašymo iki diegimo, vieną išeinantį administratorių iki prieigos atšaukimo ir vienas atkūrimo pratybas iki taisomojo veiksmo. Taip atskleidžiamos nutrūkusios perdavimo grandys, kurias politikos peržiūra gali praleisti.

Tikrinimo metu tvarkykite prašymų registrą su atsakingais asmenimis ir atsakymų būsena. Laikykite originalius įrašus prieinamus, atvirai paaiškinkite neatitikimus ir taisomuosius darbus sekite atskirai nuo istorinių įrodymų. Neperrašinėkite senų įrašų, kad jie atrodytų atitinkantys. Auditorius nustato, kaip išvados paveikia testavimą ir nuomonę.

Išnagrinėtas pavyzdys: valdoma programa išorinėje infrastruktūroje

Iliustracijai tarkime, kad paslaugų teikėjas viename regione eksploatuoja kelių nuomininkų programą, naudoja išorinį infrastruktūros paslaugų teikėją ir siekia 2 tipo užtikrinimo. Jo komanda kontroliuoja programos išleidimus, nuomininkų leidimus, gamybinės aplinkos administravimą ir atkūrimo procedūras.

Taikymo srities aprašyme nurodoma programa, duomenų bazė, valdymo plokštuma, aptarnavimo įrankiai ir infrastruktūros priklausomybė. Jame paaiškinama, kurios pagrindinės kontrolės yra paveldėtos, o kurios lieka programos teikėjui.

Nuomininkų izoliacijai komanda užfiksuoja savo autorizacijos projektą, automatizuotus negatyvinius testus, saugumo testų išvadas ir išleidimų patvirtinimus. Ji taip pat išsaugo pakeitimų įrašus, rodančius, kada keitėsi autorizacijos logika. Infrastruktūros ataskaita yra papildomas priklausomybės įrodymas, o ne programos izoliacijos įrodymas.

Privilegijuotai prieigai komanda išsaugo administratorių populiaciją, suteikimo patvirtinimus, peržiūros sprendimus ir pašalinimo įrašus. Tarkime, peržiūros metu aptinkama nenaudojama aptarnavimo paskyra. Komanda užfiksuoja aptikimą, atšaukimą, poveikio vertinimą ir prevencinį veiksmą. Tai patikimiau nei pateikti tik sutvarkytą paskyrų sąrašą.

Atkūrimui ji išsaugo atkūrimo testo rezultatą, rodantį, kas buvo atkurta, kiek laiko užtruko, duomenų vientisumo patikrinimus ir neišspręstus apribojimus. Vien sukonfigūruota atsarginių kopijų užduotis atkuriamumo neįrodo. Kiekvienas įrodymų rinkinys turi atsakingą asmenį ir apibrėžtą laikotarpį, todėl auditorius gali susieti įrašus su tikrinama kontrole.

Pakartotinai naudokite užtikrinimo darbą, neteigdami lygiavertiškumo

ISO/IEC 27001 susijęs su apibrėžtos taikymo srities informacijos saugumo valdymo sistema. SOC 2 yra atestavimo ataskaita, naudojanti savo kriterijus ir ataskaitų kontekstą. C5 orientuotas į debesijos paslaugų užtikrinimą pagal BSI katalogą.

Esami rizikos vertinimai, prieigos kontrolės, incidentų procedūros ir veiklos įrašai gali palaikyti daugiau nei vieną programą. Naudokite juos pakartotinai per versijai ir taikymo sričiai specifinius susiejimus, tada patikrinkite reikalavimų ar ataskaitų skirtumus. Bendra kontrolė nereiškia automatinio sistemų lygiavertiškumo.

Užtikrinimo portfelį rinkitės pagal faktinius klientų reikalavimus ir paslaugos rizikas. C5 nėra visuotinai privalomas kiekvienam debesijos paslaugų teikėjui; konkursų, sutartiniai ar taikomi sektoriniai reikalavimai turi būti peržiūrėti atskirai. Nei C5 ataskaita, nei kitas užtikrinimo dokumentas savaime neįrodo BDAR ar NIS2 atitikties.

Parenkite ataskaitą klientų sprendimams

Klientams reikia sistemos aprašymo, datos ar laikotarpio, faktinės nuomonės, išimčių ir atsakomybės ribų, o ne vien ataskaitos pavadinimo. Dalydamiesi ataskaitomis, laikykitės sutartinio konfidencialumo ir pateikite kontekstą kliento vertinimui.

Paaiškinkite taisomųjų darbų būseną, nesudarydami įspūdžio, kad vėlesni pataisymai keičia istorinę nuomonę. Jei ataskaitos laikotarpis buvo prieš didelį architektūros pakeitimą, nurodykite šį apribojimą. Pasikartojančius tikrinimus derinkite su klientų lūkesčiais ir veiklos pokyčiais, o ne laikykite atestavimo nesenstančiu kredencialu.

„Secani“ padeda komandoms susieti kontrolių įgyvendinimą ir įrodymus su peržiūrėtais reikalavimais. Sumodeliuokite paslaugą ir priklausomybes, priskirkite atsakingus asmenis ir tikrintojus, pridėkite pagrindžiančius įrašus ir paverskite įrodymų spragas užduotimis. Susiejimų ir išvadų patvirtinimą žmogumi išlaikykite aiškų. Pasirengimo auditui modelis padeda išsaugoti kiekvieno teiginio taikymo sritį ir atsakomybę.

Klausimai, kuriuos reikia išspręsti prieš pirmąjį tikrinimą

Ar ataskaitą išduoda BSI?

BSI skelbia katalogą. Tikrinimą atlieka ir atestavimo ataskaitą išduoda nepriklausomas auditorius; taikomą užtikrinimo sistemą ir užduoties sąlygas pasitikslinkite su tuo auditoriumi.

O jei realaus incidento nebuvo?

Neišgalvokite incidento įrašo. Išsaugokite įrodymus, kad procesas buvo įgyvendintas ir, kai tinkama, išbandytas pratybose. Su auditoriumi suderinkite, kaip įvykių nebuvimas paveikia testavimą.

Ką komanda turėtų daryti toliau?

Paimkite vieną reprezentatyvią gamybinę paslaugą ir parenkite jos taikymo srities aprašymą, atsakomybės matricą ir įrodymų registrą. Šiuos tris rezultatus peržiūrėkite su būsimu auditoriumi prieš rinkdami didelį įrodymų paketą.