C5 apliecinājums: sagatavojiet mākoņpakalpojumu apliecinājuma pierādījumus

Mākoņpakalpojumu klients vēlas zināt, kādus aizsardzības pasākumus nodrošina pakalpojumu sniedzējs un kuri paliek paša klienta atbildībā. Vācijas Federālais informācijas drošības birojs (BSI) publicē mākoņdatošanas atbilstības kritēriju katalogu C5 (Cloud Computing Compliance Criteria Catalogue) kā strukturētu pamatu šāda apliecinājuma izvērtēšanai. Tehnoloģiju direktoram sagatavošanās nozīmē padarīt pārbaudāmu pakalpojuma robežu, kontroļu ieviešanu un darbības ierakstus, nevis tikai apkopot politikas.

C5 ir kritēriju katalogs, ko izmanto neatkarīgam apliecinājumam, nevis ISO stila sertifikācija. Primārā atsauce ir BSI C5 dokumentācija. Sāciet, vienojoties ar neatkarīgo revidentu par piemērojamo izdevumu, apliecinājuma mērķi un pārbaudes tvērumu.

Precīzi definējiet, kuru pakalpojumu ziņojums aptvers

Aprakstiet mākoņpakalpojumu, darbības vietas, organizatoriskās robežas un atkarības. Ziņojums, kas aptver vienu pakalpojumu, automātiski neaptver katru produktu ar to pašu zīmolu. Identificējiet ražošanas komponentus, pārvaldības saskarnes, atbalsta darbības un ārējos pakalpojumus, kas var ietekmēt apliecinājuma apgalvojumus.

Sistēmas aprakstam jāļauj ārējai personai saprast, kā klientu dati nonāk pakalpojumā, pārvietojas tajā un to atstāj. Iekļaujiet administrēšanas ceļus, izvietošanas procesus, drošības uzraudzību, dublējumkopijas un pienākumu sadalījumu starp komandām. Paskaidrojiet attiecīgās pakalpojuma īpašības un darbības apstākļus, nevis aizstājiet aprakstu ar arhitektūras diagrammām.

Atrisiniet šos tvēruma jautājumus pirms pierādījumu vākšanas:

• Kuri produkti, reģioni un vides ir iekļauti?
• Kuras komandas administrē ražošanas vidi vai var piekļūt klientu informācijai?
• Kuri pamatā esošie pakalpojumu sniedzēji atbalsta pakalpojumu un kā tiek apstrādātas to kontroles?
• Kuras konfigurācijas un drošības uzdevumi paliek klientu ziņā?
• Kādas būtiskas izmaiņas notika vai ir plānotas pārbaudes periodā?

Izņēmumiem norādiet skaidru pamatojumu. Ja kāda mantota izvietošana ir izslēgta, nodrošiniet, ka klientiem paredzētie paziņojumi nerada iespaidu, ka tā ir aptverta. Rezultāts ir versijēts sistēmas apraksts, ko pamato arhitektūras, atkarību un pienākumu ieraksti.

Izvēlieties ziņojuma veidu, pirms nosakāt pierādījumu kalendāru

C5 apliecinājums parasti tiek izteikts revidenta apliecinājuma ziņojumā. 1. veids attiecas uz kontroļu uzbūvi un ieviešanu konkrētā brīdī. 2. veids papildus pārbauda darbības efektivitāti noteiktā periodā.

1. veids var būt noderīgs atskaites punkts, veidojot kontroles vidi, taču tas neatbild uz to pašu jautājumu, uz ko atbild 2. veids. Pirms starpposma ziņojuma izvēles pārliecinieties, ko klienti faktiski prasa.

Vienojieties ar revidentu par periodu un pierādījumu gaidām. Nepieņemiet universālu novērošanas ilgumu. Procedūra, kas uzrakstīta perioda beigās, nevar pierādīt, ka kontrole darbojās agrāk. Tāpat veiksmīgs pašreizējais tests neizdzēš vēsturisku kļūmi.

Veidojiet pierādījumus ap atbildību un izpildi

Kā praktisku sagatavošanās metodi izveidojiet pierādījumu reģistru, kas katru piemērojamo kritēriju sasaista ar ieviesto kontroli, īpašnieku, pakalpojuma robežu, pierādījumu avotu, pārskatīšanas biežumu un neatrisinātajām nepilnībām. Reģistrējiet piemērojamības lēmumus un to pamatojumu; neatzīmējiet kritēriju kā nebūtisku tikai tāpēc, ka ieviešana būtu sarežģīta.

Nošķiriet trīs jautājumus: kam jānotiek, kas ir ieviests un kas faktiski notika. Politika atbild uz pirmo. Konfigurācijas ieraksti var pamatot otro. Pieteikumi, žurnāli, apstiprinājumi un testu rezultāti pamato trešo.

Šie ir praktiski piemēri, nevis pilnīgs C5 kontrolsaraksts. Izmantojiet saskaņoto katalogu un tvērumu, lai noteiktu nepieciešamo pārklājumu, ieskaitot organizatoriskās, personāla, fiziskās un tehniskās kontroles.

Padariet pierādījumus atkārtojamus

Katram eksportam vai ekrānuzņēmumam saglabājiet avota sistēmu, savākšanas datumu, attiecīgo periodu, filtrus un savācēju. Paskaidrojiet, vai tas atspoguļo visu kopu vai atlasītu vienību. Revidentiem jāsaprot kopa, no kuras viņi atlasa izlases; mape, kurā ir tikai veiksmīgi piemēri, nav pietiekama.

Dodiet priekšroku ierakstiem, kas saglabā dalībnieku, laika zīmogu, darbību un rezultātu. Aizsargājiet pierādījumus pret neatļautu izmainīšanu un izvairieties no nevajadzīgas klientu datu atklāšanas. Ja nepieciešama rediģēšana, saglabājiet pietiekami daudz konteksta, lai pārskatītājs saprastu, ko ieraksts pierāda.

Nošķiriet mantotās kontroles no saglabātajiem pienākumiem

Infrastruktūras pakalpojumu sniedzēja apliecinājums var atbalstīt fizisko drošību vai pamatā esošās platformas kontroles. Tas nepierāda, ka jūsu lietotnes nomnieku autorizācija darbojas. Dokumentējiet atkarību, attiecīgā ziņojuma tvērumu, periodu, izņēmumus un pienākumus, kas jūsu komandai joprojām jāizpilda.

Arī papildinošajām klientu kontrolēm nepieciešams praktisks formulējums. „Klients atbild par drošību” ir pārāk plaši. Norādiet tādus uzdevumus kā nomnieka lietotāju administrēšana, identitāšu federācijas konfigurēšana vai klienta kontrolēto piekļuves politiku pārskatīšana. Uzturiet šos pienākumus konsekventus sistēmas aprakstā, pakalpojuma dokumentācijā un līgumiskajā kārtībā.

Īstenojiet sagatavošanos kā inženiertehnisku programmu

Sāciet ar nepilnību novērtējumu attiecībā pret saskaņotajiem kritērijiem. Nošķiriet trūkstošu ieviešanu no trūkstošiem pierādījumiem: tiem nepieciešami atšķirīgi risinājumi. Nedokumentētai pārskatīšanai var būt nepieciešami labāki ieraksti; piekļuves pārskatīšanai, kas nekad nav notikusi, nepieciešama darbības kontrole.

Katrai nepilnībai piešķiriet īpašnieku, novēršanas darbību, atkarību un mērķa datumu. Prioritizējiet problēmas, kas ietekmē nomnieku nošķiršanu, priviliģēto piekļuvi, ražošanas izmaiņas, reaģēšanu uz incidentiem un atjaunojamību, atbilstoši pakalpojuma riskiem, nevis tikai vienkāršākos dokumentācijas uzdevumus.

Pirms 2. veida perioda pārbaudiet, vai regulārajām kontrolēm ir izpildāmi grafiki un noturīgi ieraksti. Pārliecinieties, kas tās veic prombūtnes vai personāla mainības laikā. Notikumu ierosinātām kontrolēm, piemēram, konta slēgšanai, nodrošiniet, ka ierosinošo kopu var identificēt.

Veiciet gatavības caurskati ar reprezentatīviem pierādījumiem. Izsekojiet vienas izmaiņas no pieprasījuma līdz izvietošanai, viena aizejoša administratora piekļuvi līdz atsaukšanai un vienas atjaunošanas mācības līdz korektīvajai darbībai. Tas atklāj pārrāvumus nodošanas punktos, ko politiku pārskatīšana var nepamanīt.

Pārbaudes laikā uzturiet pieprasījumu reģistru ar īpašniekiem un atbildes statusu. Uzturiet oriģinālos ierakstus pieejamus, atklāti izskaidrojiet neatbilstības un izsekojiet novēršanu atsevišķi no vēsturiskajiem pierādījumiem. Nepārrakstiet vecus ierakstus, lai tie izskatītos atbilstoši. Revidents nosaka, kā konstatējumi ietekmē testēšanu un atzinumu.

Praktisks piemērs: pārvaldīta lietotne uz ārējas infrastruktūras

Ilustratīvi pieņemsim, ka pakalpojumu sniedzējs darbina daudznomnieku lietotni vienā reģionā, izmanto ārēju infrastruktūras pakalpojumu sniedzēju un vēlas iegūt 2. veida apliecinājumu. Tā komanda kontrolē lietotnes laidienus, nomnieku atļaujas, ražošanas administrēšanu un atjaunošanas procedūras.

Tvēruma aprakstā identificēta lietotne, datubāze, pārvaldības plakne, atbalsta rīki un infrastruktūras atkarība. Tajā paskaidrots, kuras pamatā esošās kontroles ir mantotas un kuras paliek lietotnes nodrošinātāja ziņā.

Nomnieku izolācijai komanda reģistrē savu autorizācijas uzbūvi, automatizētos negatīvos testus, drošības testu konstatējumus un laidienu apstiprinājumus. Tā arī saglabā izmaiņu ierakstus, kas parāda, kad mainījās autorizācijas loģika. Infrastruktūras ziņojums ir atkarību pamatojošs pierādījums, nevis lietotnes izolācijas pierādījums.

Priviliģētajai piekļuvei komanda saglabā administratoru kopu, piešķiršanas apstiprinājumus, pārskatīšanas lēmumus un atsaukšanas ierakstus. Pieņemsim, ka pārskatīšanā atklāj neizmantotu atbalsta kontu. Komanda reģistrē atklāšanu, atsaukšanu, atklātības novērtējumu un preventīvo darbību. Tas ir ticamāk nekā iesniegt tikai sakopto kontu sarakstu.

Atjaunošanai tā saglabā atjaunošanas testa rezultātu, kas parāda, kas tika atjaunots, kopējo ilgumu, datu integritātes pārbaudes un neatrisinātos ierobežojumus. Konfigurēts dublēšanas uzdevums vien nepierāda atjaunojamību. Katram pierādījumu kopumam ir īpašnieks un noteikts periods, lai revidents varētu sasaistīt ierakstus ar pārbaudāmo kontroli.

Izmantojiet apliecinājuma darbu atkārtoti, neapgalvojot līdzvērtību

ISO/IEC 27001 attiecas uz informācijas drošības pārvaldības sistēmu ar noteiktu tvērumu. SOC 2 ir apliecinājuma ziņojums, kas izmanto savus kritērijus un ziņošanas kontekstu. C5 koncentrējas uz mākoņpakalpojumu apliecinājumu saskaņā ar BSI katalogu.

Esošie riska novērtējumi, piekļuves kontroles, incidentu procedūras un darbības ieraksti var atbalstīt vairāk nekā vienu programmu. Izmantojiet tos atkārtoti, izmantojot versijai un tvērumam specifiskas sasaistes, un pēc tam pārbaudiet prasību vai ziņošanas atšķirības. Kopīga kontrole nav automātiska līdzvērtība starp ietvariem.

Izvēlieties apliecinājumu portfeli, pamatojoties uz faktiskajām klientu prasībām un pakalpojuma riskiem. C5 nav universāli obligāts katram mākoņpakalpojumu sniedzējam; iepirkuma, līgumiskās vai piemērojamās nozares prasības jāpārskata atsevišķi. Ne C5 ziņojums, ne cits apliecinājuma dokuments patstāvīgi nepierāda atbilstību VDAR vai NIS2.

Sagatavojiet ziņojumu klientu lēmumiem

Klientiem nepieciešams sistēmas apraksts, datums vai periods, faktiskais atzinums, izņēmumi un pienākumu robežas, nevis tikai ziņojuma nosaukums. Kopīgojot ziņojumus, ievērojiet līgumisko konfidencialitāti un sniedziet kontekstu klienta novērtējumam.

Izskaidrojiet novēršanas statusu, neradot iespaidu, ka vēlāki labojumi maina vēsturisko atzinumu. Ja ziņojuma periods ir pirms būtiskām arhitektūras izmaiņām, norādiet šo ierobežojumu. Vienojieties par regulārām pārbaudēm, ņemot vērā klientu gaidas un darbības izmaiņas, nevis uzskatiet apliecinājumu par mūžīgu.

Secani palīdz komandām sasaistīt kontroļu ieviešanu un pierādījumus ar pārskatītām prasībām. Modelējiet pakalpojumu un atkarības, piešķiriet īpašniekus un pārskatītājus, piesaistiet pamatojošos ierakstus un pārvērtiet pierādījumu nepilnības uzdevumos. Saglabājiet skaidru cilvēka apstiprinājumu sasaistēm un secinājumiem. Gatavības auditam modelis palīdz saglabāt tvērumu un atbildību, kas ir aiz katra apgalvojuma.

Jautājumi, kas jāatrisina pirms pirmās pārbaudes

Vai ziņojumu izsniedz BSI?

BSI publicē katalogu. Pārbaudi veic un apliecinājuma ziņojumu izsniedz neatkarīgs revidents; pārliecinieties par piemērojamo apliecinājuma ietvaru un uzdevuma noteikumiem ar šo revidentu.

Ko darīt, ja nav noticis neviens reāls incidents?

Neizdomājiet incidenta ierakstu. Saglabājiet pierādījumus, ka process tika ieviests un attiecīgā gadījumā izmēģināts mācībās. Vienojieties ar revidentu, kā notikumu neesamība ietekmē testēšanu.

Kas komandai jādara tālāk?

Paņemiet vienu reprezentatīvu ražošanas pakalpojumu un sagatavojiet tā tvēruma aprakstu, pienākumu matricu un pierādījumu reģistru. Pārskatiet šos trīs nododamos rezultātus ar potenciālo revidentu, pirms apkopojat lielu pierādījumu paketi.