BSI C5.
Susipažinkite su debesijos paslaugų kriterijų katalogu, pasirinkite tinkamą ataskaitos tipą ir išsiaiškinkite teikėjo bei kliento atsakomybę.
- BSI C5:2026 · C5:2020 pereinamuoju laikotarpiu
- Autorius: Jonathan Bezdek
- Aktualu: 2026-10-22
- Skaitymo trukmė: 6 min.
Trumpas atsakymas.
BSI C5 yra debesijos paslaugų informacijos saugumo kriterijų katalogas. Nepriklausomas auditorius tikrina aprašytą paslaugą ir pateikia išvadą su audito ataskaita. C5:2026 atskiria konkrečios datos vertinimą nuo papildomo veiklos veiksmingumo tikrinimo per laikotarpį. Klientai patys vertina ataskaitą ir jiems liekančias saugumo užduotis; BSI sertifikato neišduoda.
BSI C5 ir debesijos saugumo kriterijų katalogas.
BSI C5 sukuria bendrą pagrindą debesijos paslaugos saugumo įsipareigojimams tikrinti ir vertinti. Visas pavadinimas – Cloud Computing Compliance Criteria Catalogue. BSI skelbia katalogą; paslaugos teikėjas auditą užsako pas kvalifikuotą auditorių. BSI įvadiniame puslapyje aiškiai atskiria šiuos vaidmenis: institucija neparenka auditorių ir nevertina atskirų ataskaitų.
Paskelbta versija yra C5:2026. Pereinamuoju laikotarpiu C5:2020 lieka aktuali tam tikriems vertinimams. Todėl užsakant kartu reikia suderinti leidimą, ataskaitos tipą ir laiko ribą. Teiginys „patikrinta pagal C5“ neatskleidžia, kokia paslauga kokiomis sąlygomis buvo vertinta; jo nepakanka pirkimo sprendimui.
C5:2026 3.5 skirsnyje naujas leidimas numatytas 1 tipo vertinimo datoms nuo 2027 m. birželio 1 d. ir 2 tipo vertinimo laikotarpiams, prasidedantiems nuo tos dienos; galima taikyti ir anksčiau. Anksčiau prasidedantys ir šią datą peržengiantys 2 tipo laikotarpiai dar turėtų būti vienodai vertinami pagal C5:2020. Laikotarpiams, pasibaigiantiems nuo 2027 m. vasario 28 d., jau numatyta papildoma informacija apie planuojamus kontrolės pakeitimus. Konkrečią pereinamojo laikotarpio situaciją suderinkite su auditoriumi.
Kam aktuali C5 audito išvada.
Debesijos teikėjai naudoja C5, kad klientams atsekamai parodytų apibrėžtos paslaugos saugumo darbą. Klientai ir pirkimų komandos gauna informacijos savo rizikos vertinimui. Ataskaita gali apimti infrastruktūrą, platformas ar programinę įrangą; svarbi tikroji jos aprėptis. Pagal BSI DUK išvada taikoma įvertintoms paslaugoms ir regionams, o ne bendrai visiems grupės pasiūlymams.
Ar reikalaujama C5 išvados, priklauso nuo konkretaus naudojimo ir jam taikomų reikalavimų. Atskirai patikrinkite klientų sutartis, pirkimo sąlygas ir taikomas sektoriaus taisykles. Turima ataskaita taip pat automatiškai neatsako, ar paslauga tinka ypač saugotinai informacijai. BSI įvadiniame puslapyje savo reikalavimų ir likutinės rizikos vertinimas priskiriamas klientui.
Kokį darbą sujungia C5 kriterijų katalogas.
C5 vertina debesijos paslaugos saugumo organizavimą, veikimo sąlygas ir užduočių pasidalijimą. Toliau pateiktos šešios darbo sritys yra praktinis pasirengimo orientyras; jos nepakeičia nei 5 skyriaus kriterijų, nei suderinto audito planavimo.
Įtvirtinkite atsakomybę už paslaugą.
Sprendimus, veiklos užduotis ir patikras priskirkite atsakingiems asmenims. Organizacinis aprašymas turi parodyti, kas gali veikti nustačius neatitikimą ir kas stebi jo pašalinimą. Tai padeda išvengti prielaidos, kad vien koordinuojanti saugumo funkcija perima visas veiklos užduotis.
Apibrėžkite paslaugą ir priklausomybes.
Aprašykite, kokios paslaugos, regionai ir pagalbiniai teikėjai įtraukti į išvadą. Techninė priklausomybė gali būti svarbi saugumui net jei sutartimi perduota išorei. Atsekamai užfiksuokite, kokias garantijas gaunate iš kitų ir kokios užduotys lieka jūsų veikloje.
Saugokite prieigas ir informaciją.
Nagrinėkite klientų informacijos tvarkymą visoje tikrojoje paslaugoje. Praktinė inventorizacija apima naudotojų ir administravimo prieigos kelius bei atsakomybę už konfigūraciją ir teises. Patikrinkite ir perdavimus tarp teikėjo bei kliento; saugiai valdoma infrastruktūra savaime neatsako į kliento konfigūravimo klausimus.
Užtikrinkite veiklos ir pokyčių atsekamumą.
Susiekite nustatytas procedūras su jų taikymo įrašais. Paslaugos pakeitimas gali būti susijęs su kitokiais įrodymais ir atsakingais asmenimis nei nepakeistos veiklos etapas. Todėl rengiantis naudinga susieti reikšmingus pakeitimus su laiku ir turėti tinkamus dokumentus, užuot rodžius vien dabartinę būklę.
Pasirenkite sutrikimams.
Išsiaiškinkite atsakomybes dėl incidentų, komunikacijos ir veiklos atkūrimo. Praktinės pratybos gali parodyti, ar veikia perdavimai ir eskalavimas. Aiškiai žymėkite pratybas ir saugokite rezultatus; išgalvoti įvykiai negali būti pateikiami kaip istoriniai veiklos įrodymai. Išsamus įrodymų organizavimas aptariamas esamame C5 tinklaraščio straipsnyje.
Užtikrinkite skaidrumą klientams.
C5:2026 4 skyriuje aprašomos aplinkybės, reikalingos klientų vertinimui. Pateikite audito aprėptį ir klientams liekančias užduotis taip, kad skaitytojai galėtų įvertinti savo naudojimą. Bendras saugumo teiginys mažiau naudingas nei suprantamas konkrečios atsakomybės ribos ir galimų apribojimų aprašymas.
Kelias į C5 audito išvadą.
Išsiaiškinkite įrodymų poreikį.
Pradėkite nustatydami, kurie klientai kokiai paslaugai tikisi ataskaitos ir koks leidimas, ataskaitos tipas bei laiko riba tam tinka.
Aprašykite audito aprėptį.
Apibrėžkite paslaugas, regionus, dalyvaujančias organizacijas ir priklausomybes taip, kad numatytas auditorius galėtų įvertinti užduotį ir jos sąsajas.
Pasirenkite kontrolės priemonių taikymui.
Su atsakingomis komandomis išsiaiškinkite taikomus kriterijus ir atsakomybes bei prieš numatyto nagrinėjamo laikotarpio pradžią suderinkite laukiamus įrodymus.
Išsaugokite veiklos įrašus.
Saugokite atsekamus sutarto laikotarpio įrodymus ir fiksuokite pakeitimus bei nustatytus neatitikimus su tikrąja jų eiga.
Užsakykite nepriklausomą auditą.
Pasitelkite tinkamą auditorių ir paaiškinkite turimus dokumentus, nepateikdami vėlesnių patobulinimų kaip ankstesnės kontrolės būklės.
Įvertinkite ir atnaujinkite ataskaitą.
Kliento požiūriu kartu vertinkite išvadą, aprėptį, laikotarpį ir apribojimus bei suderinkite tolesnę įrodymų aprėptį nuolatiniam naudojimui.
Ką įrodo C5 audito išvada.
C5 išvadoje pateikiamas nepriklausomo aprašytos debesijos paslaugos audito rezultatas. Pagal C5:2026 3.4.4 skirsnį 1 tipas vertina kontrolės priemonių suprojektavimą ir įdiegimą konkrečią datą; 2 tipas papildomai apima veiklos veiksmingumą per laikotarpį. Todėl konkrečios datos ataskaita atsako į kitą klausimą nei nuolatinės veiklos ataskaita.
2 tipui nebūtina ankstesnė 1 tipo ataskaita. C5:2026 3.4.11 skirsnyje 1 tipas numatytas tik pirmajam auditui. Tinkamas vertinimas priklauso nuo užduoties, pradinės padėties ir įrodymų poreikio. Visą ataskaitą ir jos apribojimus tikrinkite kartu su sistemos aprašymu; titulinis puslapis ar teikėjo pristatymas šio vertinimo nepakeičia.
C5 išvada neturi bendros sertifikatui būdingos galiojimo trukmės. Ji susijusi su nurodyta data arba laikotarpiu. BSI DUK paaiškina, kad senesnė ataskaita gali tapti mažiau vertinga dabartiniam rizikos vertinimui. Todėl į dabartinį kliento sprendimą reikia įtraukti naujus regionus, esminius paslaugos pakeitimus ar trūkstamą laiko aprėptį.
Ryšys su kitomis sistemomis.
ISO 27001 skirtas informacijos saugumo vadybos sistemai ir galimam jos sertifikavimo įrodymui. SOC 2 yra atskira ataskaitų sistema su kitais kriterijais ir užduoties sąlygomis. BDAR nustato teisines pareigas asmens duomenims; C5 išvada nepakeičia jų vertinimo ir valdytojo užduočių.
„Secani“ sistemoje.
„Secani“ pateikia redakcinę darbo priemonę pagal BSI C5:2026. Profilio duomenys, be kita ko, apima debesijos teikėją, debesijos klientą, papildomus kriterijus, 2 tipo vertinimą ir subteikėjus. Katalogas padeda struktūruotai dirbti; tai nėra oficialus vertimas ar audito išvada. Kompetentingas vertinimas ir nepriklausomas audito sprendimas lieka atskiros užduotys.
Pradėkite nuo apibrėžtos debesijos paslaugos.
Pasirinkite konkrečiai įvardytą paslaugą ir užfiksuokite kliento poreikį. Aprašykite regioną, atsakomybes ir esmines priklausomybes. Tada su numatytu auditoriumi išsiaiškinkite, kokio leidimo ir ataskaitos tipo reikia šiai išvadai. Taip sukuriamas patikimas tolesnio pasirengimo pagrindas.
Dažniausi klausimai.
Ne. BSI skelbia kriterijų katalogą; pasamdytas auditorius parengia audito ataskaitą ir išvadą. BSI sertifikatas šiuo atveju neišduodamas.
1 tipas vertina suprojektavimą ir įdiegimą konkrečią datą. 2 tipas papildomai tikrina veiklos veiksmingumą per nurodytą laikotarpį; ankstesnės 1 tipo ataskaitos tam nereikia.
Bendros trukmės nurodyti neįmanoma. Ataskaita susijusi su jos data arba laikotarpiu; klientai turi įvertinti, ar ji atitinka dabartinį naudojimą, pokyčius ir reikalingą įrodymų aprėptį.
Ne. Klientai ir toliau turi vertinti bei vykdyti savo atsakomybės srityje liekančias užduotis ir riziką. Tai apima tikrosios ataskaitos aprėpties palyginimą su savo naudojimu.
Apibrėžkite debesijos paslaugą.
Aptarkite, kaip galite dirbti su redakciniu C5 katalogu „Secani“ sistemoje.
Šiame puslapyje C5 paaiškinamas bendrai; jis nepakeičia nei originalaus katalogo, nei profesinio vertinimo. Lemiamą reikšmę turi sutartas leidimas, konkreti audito užduotis ir taikomi reikalavimai.