BSI C5.
Izprotiet mākoņpakalpojumu kritēriju katalogu, izvēlieties piemērotu ziņojuma veidu un noskaidrojiet sniedzēja un klienta atbildību.
- BSI C5:2026 · C5:2020 pārejas periodā
- Autors: Jonathan Bezdek
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 6 min.
Īsā atbilde.
BSI C5 ir mākoņpakalpojumu informācijas drošības kritēriju katalogs. Neatkarīgs revidents pārbauda aprakstīto pakalpojumu un sagatavo atzinumu ar pārbaudes ziņojumu. C5:2026 nošķir secinājumus par noteiktu datumu no papildu darbības efektivitātes pārbaudes noteiktā periodā. Klienti paši novērtē ziņojumu un savus atlikušos drošības uzdevumus; BSI sertifikātu neizsniedz.
BSI C5 un mākoņdrošības kritēriju katalogs.
BSI C5 rada kopīgu pamatu mākoņpakalpojuma drošības saistību pārbaudei un izvērtēšanai. Pilnais nosaukums ir Cloud Computing Compliance Criteria Catalogue. BSI publicē katalogu; pakalpojumu sniedzējs pasūta pārbaudi revidentam. BSI ievadlapā šīs lomas skaidri nošķirtas: iestāde neizvēlas revidentus un nevērtē atsevišķos ziņojumus.
Publicētā redakcija ir C5:2026. C5:2020 pārejas laikā joprojām ir būtisks noteiktām pārbaudēm. Tādēļ, noskaidrojot pasūtījumu, kopīgi jāvērtē izdevums, ziņojuma veids un laika robeža. Norāde “C5 pārbaudīts” atstāj neskaidru, kurš pakalpojums un ar kādiem nosacījumiem pārbaudīts; tā nav pietiekama iepirkuma lēmumam.
C5:2026 3.5. sadaļa paredz jauno izdevumu 1. tipa pārbaudes datumiem no 2027. gada 1. jūnija un 2. tipa pārbaudes periodiem, kas sākas no šīs dienas; iespējama agrāka piemērošana. 2. tipa periodi, kas sākas agrāk un turpinās pēc šā datuma, vēl vienoti jāpārbauda pēc C5:2020. Periodiem, kas beidzas no 2027. gada 28. februāra, jau paredzēta papildu informācija par plānotajām kontroļu izmaiņām. Saskaņojiet konkrēto pārejas situāciju ar revidentu.
Kam būtisks C5 atzinums.
Mākoņpakalpojumu sniedzēji izmanto C5, lai padarītu savu drošības darbu norobežotā pakalpojumā klientiem izsekojamu. Klienti un iepirkuma komandas saņem informāciju pašu risku novērtēšanai. Ziņojums var attiekties uz infrastruktūru, platformām vai programmatūru; noteicošs ir tā faktiskais aptvērums. Saskaņā ar BSI biežākajiem jautājumiem secinājums attiecas uz pārbaudītajiem pakalpojumiem un reģioniem, nevis vispārēji uz visiem koncerna piedāvājumiem.
Tas, vai tiek prasīts C5 atzinums, atkarīgs no konkrētā lietojuma un tā prasībām. Atsevišķi pārbaudiet klientu līgumus, iepirkuma nosacījumus un piemērojamos nozaru noteikumus. Esošs ziņojums arī automātiski neatbild, vai pakalpojums ir piemērots īpaši aizsargājamai informācijai. BSI ievadlapa uztic klientam novērtēt savas prasības un atlikušos riskus.
Kādu darbu savieno C5 kritēriju katalogs.
C5 izvērtē mākoņpakalpojuma drošības organizēšanu, tā darbības nosacījumus un uzdevumu sadalījumu. Tālāk minētās sešas darba jomas ir praktiska orientācija sagatavošanai; tās neaizstāj ne 5. nodaļas kritērijus, ne saskaņotu pārbaudes plānošanu.
Nostiprināt atbildību pakalpojumā.
Piešķiriet lēmumus, operatīvos uzdevumus un pārbaudes atbildīgajām personām. Organizatoriskajam aprakstam jāparāda, kurš drīkst rīkoties neatbilstības gadījumā un kurš seko novēršanai. Tas palīdz izvairīties no pieņēmuma, ka koordinējošā drošības funkcija viena pati pārņem visus darbības uzdevumus.
Norobežot pakalpojumu un atkarības.
Aprakstiet, kādi pakalpojumi, reģioni un atbalsta sniedzēji ietilpst secinājumā. Tehniska atkarība var būt drošībai būtiska arī tad, ja tā līgumiski nodota ārpakalpojumā. Izsekojami fiksējiet, kādus apliecinājumus saņemat no citiem un kuri uzdevumi paliek pašu darbībā.
Aizsargāt piekļuvi un informāciju.
Izvērtējiet klientu informācijas apstrādi visā faktiskajā pakalpojumā. Praktiskā stāvokļa apzināšanā ietilpst lietotāju un administratoru piekļuves ceļi, kā arī atbildība par konfigurāciju un tiesībām. Pārbaudiet arī nodošanu starp sniedzēju un klientu; droši darbināta pamatinfrastruktūra pati par sevi neatbild uz klienta konfigurācijas jautājumiem.
Saglabāt darbības un izmaiņu izsekojamību.
Sasaistiet noteiktās procedūras ar to piemērošanas ierakstiem. Pakalpojuma izmaiņa var skart citus pierādījumus un atbildīgos nekā nemainīgs darbības posms. Tādēļ sagatavošanā ir noderīgi būtiskās izmaiņas sakārtot laikā un uzturēt pieejamus piemērotos dokumentus, nevis parādīt tikai pašreizējo stāvokli.
Būt gataviem traucējumiem.
Noskaidrojiet atbildību par incidentiem, saziņu un darbības atsākšanu. Praktiskas mācības var parādīt, vai nodošana un eskalācija darbojas. Atzīmējiet mācības kā mācības un saglabājiet rezultātus; izdomāti notikumi nedrīkst parādīties kā vēsturiski darbības pierādījumi. Padziļināta pierādījumu organizēšana aplūkota esošajā C5 emuāra rakstā.
Nodrošināt pārredzamību klientiem.
C5:2026 4. nodaļa apraksta pamatnosacījumus, kas klientiem vajadzīgi novērtēšanai. Skaidrojiet pārbaudes aptvērumu un atlikušos klienta uzdevumus tā, lai lasītāji varētu izvērtēt savu izmantošanu. Vispārējs drošības apgalvojums palīdz mazāk nekā saprotams konkrētās atbildības robežas un iespējamo ierobežojumu apraksts.
Ceļš līdz C5 atzinumam.
Noskaidrot apliecinājuma vajadzību.
Praktiski sākot darbu, nosakiet, kuri klienti kuram pakalpojumam sagaida ziņojumu un kāds izdevums, ziņojuma veids un laika robeža tam atbilst.
Aprakstīt pārbaudes aptvērumu.
Norobežojiet pakalpojumus, reģionus, iesaistītās organizācijas un atkarības tā, lai paredzētais revidents varētu novērtēt pasūtījumu un tā saskarnes.
Sagatavot kontroļu darbību.
Ar atbildīgajām komandām noskaidrojiet piemērojamos kritērijus un atbildību un pirms paredzētā vērtēšanas perioda sākuma saskaņojiet sagaidāmos pierādījumus.
Saglabāt darbības ierakstus.
Saglabājiet izsekojamus pierādījumus par saskaņoto laika robežu un fiksējiet izmaiņas un konstatētās neatbilstības atbilstoši to faktiskajai gaitai.
Nodrošināt neatkarīgu pārbaudi.
Pasūtiet piemērotu revīziju un izskaidrojiet esošos dokumentus, neattēlojot vēlākus uzlabojumus kā agrāku kontroles stāvokli.
Izvērtēt un atjaunināt ziņojumu.
No klienta skatpunkta kopīgi pārbaudiet secinājumu, aptvērumu, periodu un ierobežojumus un vienojieties par turpmāko pierādījumu aptvērumu pastāvīgai izmantošanai.
Ko pierāda C5 atzinums.
C5 atzinums ietver aprakstītā mākoņpakalpojuma neatkarīgas pārbaudes rezultātu. Saskaņā ar C5:2026 3.4.4. sadaļu 1. tips aplūko izveidi un ieviešanu noteiktā datumā; 2. tips papildus ietver darbības efektivitāti noteiktā periodā. Tādēļ ziņojums par noteiktu datumu atbild uz citu jautājumu nekā ziņojums par pastāvīgo darbību.
2. tipam nav vajadzīgs iepriekšējs 1. tipa ziņojums. C5:2026 3.4.11. sadaļa paredz 1. tipu tikai pirmreizējai pārbaudei. Piemērotā pārbaude atkarīga no pasūtījuma, sākotnējā stāvokļa un apliecinājuma vajadzības. Pārbaudiet pilnu ziņojumu un tā ierobežojumus kopā ar sistēmas aprakstu; titullapa vai sniedzēja prezentācija nevar aizstāt šo izvērtējumu.
C5 atzinumam nav vispārēja derīguma termiņa pēc sertifikāta parauga. Tas attiecas uz norādīto datumu vai periodu. BSI biežāko jautājumu sadaļa skaidro, ka vecāka ziņojuma nozīme pašreizējā risku novērtēšanā var mazināties. Tādēļ jauni reģioni, būtiskas pakalpojuma izmaiņas vai laika ziņā nepietiekams pierādījumu aptvērums jāiekļauj klienta pašreizējā lēmumā.
Citu ietvaru konteksts.
ISO 27001 attiecas uz informācijas drošības pārvaldības sistēmu un tās iespējamo sertifikācijas apliecinājumu. SOC 2 ir atsevišķa ziņošanas sistēma ar citiem kritērijiem un pasūtījuma nosacījumiem. VDAR rada likumā noteiktus pienākumus attiecībā uz personas datiem; C5 atzinums neaizstāj to pārbaudi un pārziņa uzdevumus.
Secani vidē.
Secani ietver pašu izstrādātu darba palīglīdzekli BSI C5:2026. Profila informācija cita starpā aptver mākoņpakalpojuma sniedzēju, klientu, papildu kritērijus, 2. tipa izvērtējumu un apakšpakalpojumu sniedzējus. Katalogs palīdz strukturēti strādāt; tas nav oficiāls tulkojums vai atzinums. Profesionālais vērtējums un neatkarīgais pārbaudes lēmums paliek atsevišķi uzdevumi.
Sāciet ar norobežotu mākoņpakalpojumu.
Izvēlieties konkrēti nosauktu pakalpojumu un fiksējiet klienta vajadzību. Aprakstiet reģionu, atbildību un būtiskās atkarības. Pēc tam ar paredzēto revidentu noskaidrojiet, kāds izdevums un ziņojuma veids vajadzīgs šim secinājumam. Tā rodas uzticams pamats turpmākai sagatavošanai.
Biežākie jautājumi.
Nē. BSI publicē kritēriju katalogu; pasūtītu revīziju veicošais revidents sagatavo pārbaudes ziņojumu un atzinumu. BSI sertifikāts netiek izsniegts.
1. tips aplūko izveidi un ieviešanu noteiktā datumā. 2. tips papildus pārbauda darbības efektivitāti norādītajā periodā; tam nav nepieciešams iepriekšējs 1. tipa ziņojums.
Vispārēju termiņu nevar norādīt. Ziņojums attiecas uz savu datumu vai periodu; klientiem jānovērtē, vai tas atbilst pašreizējai izmantošanai, izmaiņām un vajadzīgajam pierādījumu aptvērumam.
Nē. Klientiem joprojām jānovērtē un jāpilda uzdevumi un riski, kas paliek viņu atbildībā. Tas ietver faktiskā ziņojuma aptvēruma salīdzināšanu ar savu izmantošanu.
Norobežojiet mākoņpakalpojumu.
Pārrunājiet, kā strādāt ar pašu izstrādāto C5 katalogu Secani vidē.
Šī lapa vispārīgi skaidro C5 un neaizstāj ne oriģinālo katalogu, ne profesionālu pārbaudi. Noteicošs ir saskaņotais izdevums, konkrētais pārbaudes pasūtījums un piemērojamās prasības.