Atestácia C5: pripravte dôkazy o bezpečnosti cloudu

Zákazník cloudu chce vedieť, ktoré ochranné opatrenia prevádzkuje poskytovateľ a ktoré zostávajú v jeho vlastnej zodpovednosti. Nemecký Spolkový úrad pre informačnú bezpečnosť (BSI) vydáva katalóg kritérií súladu pre cloud computing, C5 (Cloud Computing Compliance Criteria Catalogue), ako štruktúrovaný základ na preverenie takéhoto uistenia. Pre CTO znamená príprava sprístupniť hranicu služby, implementáciu kontrol a prevádzkové záznamy na preverenie – nielen zostaviť politiky.

C5 je katalóg kritérií používaný na nezávislú atestáciu, nie certifikácia v štýle ISO. Primárnym zdrojom je dokumentácia BSI k C5. Začnite tým, že s nezávislým audítorom dohodnete platné vydanie, cieľ uistenia a rozsah preverenia.

Presne definujte, na ktorú službu sa správa vzťahuje

Opíšte cloudovú službu, prevádzkové lokality, organizačné hranice a závislosti. Správa pokrývajúca jednu službu automaticky nepokrýva každý produkt pod tou istou značkou. Identifikujte produkčné komponenty, administrátorské rozhrania, prevádzku podpory a externé služby, ktoré môžu ovplyvniť tvrdenia v rámci uistenia.

Opis systému by mal umožniť externému čitateľovi pochopiť, ako zákaznícke dáta do služby vstupujú, ako sa v nej pohybujú a ako ju opúšťajú. Zahrňte administrátorské cesty, procesy nasadzovania, bezpečnostný monitoring, zálohy a rozdelenie zodpovedností medzi tímy. Vysvetlite relevantné vlastnosti služby a prevádzkové podmienky a nenahrádzajte opis architektonickými diagramami.

Pred zbieraním dôkazov vyriešte tieto otázky rozsahu:

• Ktoré produkty, regióny a prostredia sú zahrnuté?
• Ktoré tímy spravujú produkciu alebo majú prístup k informáciám zákazníkov?
• Ktorí poskytovatelia v pozadí službu podporujú a ako sa zaobchádza s ich kontrolami?
• Ktoré konfigurácie a bezpečnostné úlohy zostávajú na zákazníkoch?
• Ktoré podstatné zmeny nastali alebo sú plánované počas obdobia preverenia?

Vylúčenia jasne zdôvodnite. Ak je vylúčené staršie nasadenie, zabezpečte, aby vyhlásenia pre zákazníkov nenaznačovali, že je pokryté. Výstupom je verzovaný opis systému podložený záznamami o architektúre, závislostiach a zodpovednostiach.

Zvoľte typ správy skôr, než nastavíte kalendár dôkazov

Uistenie podľa C5 sa spravidla vyjadruje atestačnou správou audítora. Typ 1 sa zaoberá návrhom a implementáciou kontrol k určitému okamihu. Typ 2 navyše preveruje prevádzkovú účinnosť počas stanoveného obdobia.

Typ 1 môže byť užitočným míľnikom pri budovaní kontrolného prostredia, neodpovedá však na tú istú otázku ako Typ 2. Pred voľbou priebežnej správy si overte, čo zákazníci skutočne požadujú.

Obdobie a očakávania na dôkazy dohodnite s audítorom. Nepredpokladajte univerzálnu dĺžku pozorovania. Postup napísaný ku koncu obdobia nedokáže preukázať, že kontrola fungovala skôr. Rovnako úspešný aktuálny test nevymaže historické zlyhanie.

Budujte dôkazy okolo zodpovednosti a vykonávania

Ako praktickú metódu prípravy vytvorte register dôkazov, ktorý prepája každé uplatniteľné kritérium s implementovanou kontrolou, vlastníkom, hranicou služby, zdrojom dôkazov, frekvenciou revízie a otvorenými medzerami. Zaznamenajte rozhodnutia o uplatniteľnosti a ich zdôvodnenie; neoznačujte kritérium za irelevantné len preto, že by implementácia bola náročná.

Oddeľte tri otázky: čo sa má diať, čo je implementované a čo sa skutočne stalo. Politika odpovedá na prvú. Konfiguračné záznamy môžu podporiť druhú. Tikety, logy, schválenia a výsledky testov podporujú tretiu.

Ide o praktické príklady, nie o úplný kontrolný zoznam C5. Požadované pokrytie vrátane organizačných, personálnych, fyzických a technických kontrol určte podľa dohodnutého katalógu a rozsahu.

Zabezpečte reprodukovateľnosť dôkazov

Pri každom exporte alebo snímke obrazovky uchovajte zdrojový systém, dátum zberu, relevantné obdobie, filtre a osobu, ktorá dôkaz zozbierala. Vysvetlite, či predstavuje celú populáciu alebo vybranú položku. Audítori musia rozumieť populácii, z ktorej vyberajú vzorky; priečinok obsahujúci iba úspešné príklady nestačí.

Uprednostňujte záznamy, ktoré uchovávajú aktéra, časovú pečiatku, akciu a výsledok. Chráňte dôkazy pred neoprávnenou zmenou a vyhýbajte sa zbytočnému odhaľovaniu zákazníckych dát. Ak je potrebné začiernenie, zachovajte dostatok kontextu, aby posudzovateľ pochopil, čo záznam preukazuje.

Oddeľte prevzaté kontroly od ponechaných povinností

Uistenie poskytovateľa infraštruktúry môže podporiť fyzickú bezpečnosť alebo kontroly podkladovej platformy. Nepreukazuje však, že autorizácia tenantov vo vašej aplikácii funguje. Zdokumentujte závislosť, relevantný rozsah správy, obdobie, výnimky a zodpovednosti, ktoré musí váš tím naďalej plniť.

Aj doplnkové kontroly na strane zákazníka potrebujú praktickú formuláciu. „Zákazník zodpovedá za bezpečnosť“ je príliš široké. Uveďte konkrétne úlohy, ako je správa používateľov tenanta, konfigurácia federácie identít alebo revízia politík prístupu, ktoré riadi zákazník. Tieto zodpovednosti udržiavajte konzistentné v opise systému, dokumentácii služby aj zmluvných dojednaniach.

Riaďte prípravu ako inžiniersky program

Začnite analýzou medzier voči dohodnutým kritériám. Rozlišujte chýbajúcu implementáciu od chýbajúcich dôkazov: vyžadujú odlišné nápravy. Nezdokumentovaná revízia môže vyžadovať lepšie záznamy; revízia prístupov, ktorá sa nikdy neuskutočnila, vyžaduje prevádzkovú kontrolu.

Každej medzere priraďte vlastníka, nápravné opatrenie, závislosť a cieľový termín. Prioritizujte problémy ovplyvňujúce oddelenie tenantov, privilegovaný prístup, produkčné zmeny, reakciu na incidenty a obnoviteľnosť podľa rizík služby – nie iba najjednoduchšie dokumentačné úlohy.

Pred obdobím Typu 2 overte, že opakujúce sa kontroly majú realizovateľné harmonogramy a trvalé záznamy. Potvrďte, kto ich vykonáva počas neprítomnosti alebo pri fluktuácii zamestnancov. Pri kontrolách spúšťaných udalosťami, napríklad pri ukončení účtu, zabezpečte, aby sa dala identifikovať populácia spúšťacích udalostí.

Uskutočnite previerku pripravenosti s reprezentatívnymi dôkazmi. Sledujte jednu zmenu od požiadavky až po nasadenie, jedného odchádzajúceho administrátora až po odobratie prístupov a jedno cvičenie obnovy až po nápravné opatrenie. Odhalíte tak prerušené odovzdávania, ktoré revízia politík môže prehliadnuť.

Počas preverenia vedite register požiadaviek s vlastníkmi a stavom odpovedí. Majte k dispozícii pôvodné záznamy, nezrovnalosti vysvetľujte otvorene a nápravu sledujte oddelene od historických dôkazov. Staré záznamy neprepisujte, aby vyzerali v súlade. O tom, ako zistenia ovplyvnia testovanie a výrok, rozhoduje audítor.

Praktický príklad: spravovaná aplikácia na externej infraštruktúre

Predpokladajme pre ilustráciu, že poskytovateľ prevádzkuje multitenantnú aplikáciu v jednom regióne, využíva externého poskytovateľa infraštruktúry a usiluje sa o uistenie Typu 2. Jeho tím riadi vydania aplikácie, oprávnenia tenantov, správu produkcie a postupy obnovy.

Opis rozsahu identifikuje aplikáciu, databázu, riadiacu vrstvu, nástroje podpory a závislosť od infraštruktúry. Vysvetľuje, ktoré podkladové kontroly sú prevzaté a ktoré zostávajú na poskytovateľovi aplikácie.

Pre izoláciu tenantov tím zaznamenáva návrh autorizácie, automatizované negatívne testy, zistenia z bezpečnostných testov a schválenia vydaní. Uchováva aj záznamy o zmenách, ktoré ukazujú, kedy sa logika autorizácie zmenila. Správa poskytovateľa infraštruktúry je podporným dôkazom o závislosti, nie dôkazom izolácie aplikácie.

Pre privilegovaný prístup tím uchováva populáciu administrátorov, schválenia udelení, rozhodnutia z revízií a záznamy o odobratí. Predpokladajme, že revízia odhalí nepoužívaný účet podpory. Tím zaznamená zistenie, odobratie, posúdenie expozície a preventívne opatrenie. To je dôveryhodnejšie než predložiť iba vyčistený zoznam účtov.

Pre obnovu uchováva výsledok testu obnovy, ktorý ukazuje, čo bolo obnovené, uplynutý čas, kontroly integrity dát a nevyriešené obmedzenia. Samotná nakonfigurovaná zálohovacia úloha obnoviteľnosť nepreukazuje. Každá sada dôkazov má vlastníka a definované obdobie, takže audítor môže záznamy prepojiť s preverovanou kontrolou.

Využívajte prácu na uistení opakovane bez tvrdenia o rovnocennosti

ISO/IEC 27001 sa týka systému manažérstva informačnej bezpečnosti s vymedzeným rozsahom. SOC 2 je atestačná správa s vlastnými kritériami a kontextom vykazovania. C5 sa zameriava na uistenie o cloudových službách podľa katalógu BSI.

Existujúce posúdenia rizík, kontroly prístupu, postupy pri incidentoch a prevádzkové záznamy môžu podporovať viac ako jeden program. Využívajte ich opakovane prostredníctvom mapovaní špecifických pre verziu a rozsah a potom overte rozdiely v požiadavkách či vykazovaní. Spoločná kontrola neznamená automatickú rovnocennosť medzi frameworkami.

Portfólio uistení vyberajte podľa skutočných požiadaviek zákazníkov a rizík služby. C5 nie je univerzálne povinná pre každého poskytovateľa cloudu; požiadavky z tendrov, zmlúv alebo platných odvetvových predpisov je potrebné posúdiť samostatne. Ani správa C5, ani iný dokument o uistení sám osebe nepreukazuje súlad s GDPR alebo NIS2.

Pripravte správu pre rozhodnutia zákazníkov

Zákazníci potrebujú opis systému, dátum alebo obdobie, samotný výrok, výnimky a hranice zodpovednosti – nie iba označenie správy. Pri zdieľaní správ rešpektujte zmluvnú dôvernosť a poskytnite kontext pre posúdenie zo strany zákazníka.

Vysvetlite stav nápravy bez naznačovania, že neskoršie opravy menia historický výrok. Ak obdobie správy predchádza veľkej zmene architektúry, toto obmedzenie uveďte. Opakované preverenia dohodnite podľa očakávaní zákazníkov a prevádzkových zmien, namiesto toho, aby ste atestáciu považovali za nadčasové osvedčenie.

Secani pomáha tímom prepájať implementáciu kontrol a dôkazy s preskúmanými požiadavkami. Modelujte službu a závislosti, priraďte vlastníkov a posudzovateľov, pripájajte podporné záznamy a meňte medzery v dôkazoch na úlohy. Ľudské schvaľovanie mapovaní a záverov ponechajte explicitné. Model pripravenosti na audit pomáha zachovať rozsah a zodpovednosť za každým tvrdením.

Otázky, ktoré treba vyriešiť pred prvým preverením

Vydáva správu BSI?

BSI vydáva katalóg. Preverenie vykonáva a atestačnú správu vydáva nezávislý audítor; platný rámec uistenia a podmienky zákazky si overte s týmto audítorom.

Čo ak nenastal žiadny skutočný incident?

Záznam o incidente si nevymýšľajte. Uchovajte dôkazy o tom, že proces bol implementovaný a, ak je to vhodné, precvičený. S audítorom dohodnite, ako absencia udalostí ovplyvní testovanie.

Čo by mal tím urobiť ďalej?

Vezmite jednu reprezentatívnu produkčnú službu a pripravte jej opis rozsahu, maticu zodpovedností a register dôkazov. Tieto tri výstupy preberte s budúcim audítorom skôr, než začnete zostavovať veľký balík dôkazov.