BSI C5.
Zorientujte sa v katalógu kritérií pre cloudové služby, vyberte vhodný typ správy a vyjasnite zodpovednosť poskytovateľa a zákazníka.
- BSI C5:2026 · C5:2020 v prechodnom období
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Čas čítania: 6 min.
Stručná odpoveď.
BSI C5 je katalóg kritérií informačnej bezpečnosti cloudových služieb. Nezávislý audítor preskúma opísanú službu a vyhotoví atest s audítorskou správou. C5:2026 rozlišuje vyjadrenia k rozhodnému dňu od dodatočného overenia prevádzkovej účinnosti počas obdobia. Zákazníci sami posudzujú správu a zostávajúce bezpečnostné úlohy; BSI certifikát nevydáva.
BSI C5 a katalóg kritérií cloudovej bezpečnosti.
BSI C5 vytvára spoločný základ na overovanie a posudzovanie bezpečnostných záväzkov cloudovej služby. Plný názov je Cloud Computing Compliance Criteria Catalogue. BSI vydáva katalóg; poskytovateľ objednáva overenie u audítorky alebo audítora. Úvodná stránka BSI tieto roly výslovne oddeľuje: úrad nevyberá audítorov ani neposudzuje jednotlivé správy.
Zverejneným znením je C5:2026. C5:2020 zostáva počas prechodného obdobia relevantný pre určité overovania. Preto treba pri vyjasnení zákazky spoločne určiť vydanie, typ správy a časové vymedzenie. Údaj ako „overené podľa C5“ necháva otvorené, ktorá služba bola preskúmaná za akých podmienok; na rozhodnutie o obstaraní nestačí.
C5:2026, oddiel 3.5, stanovuje nové vydanie pre rozhodné dni typu 1 od 1. júna 2027 a overované obdobia typu 2 začínajúce od tohto dňa; skoršie použitie je možné. Obdobia typu 2, ktoré začnú skôr a presiahnu tento termín, sa majú ešte jednotne overovať podľa C5:2020. Pre obdobia končiace od 28. februára 2027 sa už stanovujú dodatočné údaje o plánovaných zmenách kontrol. Konkrétnu prechodnú situáciu zosúlaďte s audítorom.
Pre koho je atest C5 relevantný.
Cloudoví poskytovatelia využívajú C5 na zrozumiteľné preukázanie bezpečnostnej práce pri vymedzenej službe svojim zákazníkom. Zákazníci a nákupné tímy získavajú informácie pre vlastné posúdenie rizík. Správa sa môže týkať infraštruktúry, platforiem alebo softvéru; rozhodujúci je jej skutočný rozsah. Podľa častých otázok BSI sa vyjadrenie vzťahuje na overené služby a regióny, nie plošne na všetky ponuky koncernu.
Či sa vyžaduje atest C5, závisí od konkrétneho použitia a jeho požiadaviek. Samostatne preverte zákaznícke zmluvy, podmienky obstarávania a uplatniteľné odvetvové pravidlá. Existujúca správa navyše automaticky nezodpovedá, či je služba vhodná pre informácie vyžadujúce osobitnú ochranu. Úvodná stránka BSI priraďuje zákazníkovi posúdenie jeho požiadaviek a zostávajúcich rizík.
Akú prácu spája katalóg kritérií C5.
C5 posudzuje organizáciu bezpečnosti cloudovej služby, jej prevádzkové podmienky a rozdelenie úloh. Nasledujúcich šesť pracovných oblastí poskytuje praktickú orientáciu pri príprave; nenahrádzajú kritériá z kapitoly 5 ani dohodnuté plánovanie overovania.
Ukotviť zodpovednosť v službe.
Priraďte rozhodnutia, prevádzkové úlohy a overovania príslušným osobám. Organizačný opis by mal ukazovať, kto smie pri odchýlke konať a kto sleduje nápravu. Predchádza to predpokladu, že samotná koordinujúca bezpečnostná funkcia preberá všetky prevádzkové úlohy.
Vymedziť službu a závislosti.
Opíšte, ktoré služby, regióny a podporní poskytovatelia patria do vyjadrenia. Technická závislosť môže byť významná pre bezpečnosť, aj keď je zmluvne zabezpečovaná externe. Zrozumiteľne zaznamenajte, aké uistenia dostávate od iných a ktoré úlohy zostávajú vo vlastnej prevádzke.
Chrániť prístupy a informácie.
Posudzujte zaobchádzanie s informáciami zákazníkov v celej skutočnej službe. Praktické zmapovanie stavu zahŕňa používateľské a administrátorské prístupy a zodpovednosť za konfiguráciu a oprávnenia. Preverte aj odovzdávanie medzi poskytovateľom a zákazníkom; bezpečne prevádzkovaný základ sám nezodpovedá konfiguračné otázky zákazníka.
Udržiavať preukázateľnosť prevádzky a zmien.
Prepojte stanovené postupy so záznamami z ich uplatňovania. Zmena služby môže ovplyvniť iné dôkazy a zodpovedné osoby než fáza nezmenenej prevádzky. Pri príprave preto pomáha časovo zaradiť relevantné zmeny a sprístupniť vhodné podklady namiesto ukazovania iba dnešného stavu.
Byť pripravený na narušenia.
Vyjasnite zodpovednosti za incidenty, komunikáciu a obnovenie prevádzky. Praktické cvičenie môže ukázať, či fungujú odovzdávanie a eskalácie. Označujte cvičenia ako cvičenia a uchovávajte výsledky; fiktívne udalosti sa nesmú javiť ako historické prevádzkové dôkazy. Podrobnejšej organizácii dôkazov sa venuje existujúci blog o C5.
Zabezpečiť transparentnosť pre zákazníkov.
C5:2026, kapitola 4, opisuje rámcové podmienky, ktoré zákazníci potrebujú na posúdenie. Vysvetlite rozsah overovania a zostávajúce úlohy zákazníka tak, aby čitatelia dokázali zaradiť vlastné používanie do kontextu. Všeobecné bezpečnostné tvrdenie pomáha menej než zrozumiteľný opis konkrétnej hranice zodpovednosti a možných obmedzení.
Cesta k atestu C5.
Vyjasniť potrebu dôkazov.
Ako praktický začiatok zistite, ktorí zákazníci očakávajú správu pre ktorú službu a aké vydanie, typ správy a časové vymedzenie tomu zodpovedajú.
Opísať rozsah overovania.
Vymedzte služby, regióny, zapojené organizácie a závislosti tak, aby plánovaný audítor vedel posúdiť zákazku a jej rozhrania.
Pripraviť prevádzku kontrol.
S príslušnými tímami vyjasnite uplatniteľné kritériá a zodpovednosti a dohodnite očakávané dôkazy pred začiatkom plánovaného posudzovaného obdobia.
Uchovávať prevádzkové záznamy.
Uchovávajte zrozumiteľné dôkazy pre dohodnuté časové vymedzenie a zaznamenávajte zmeny a zistené odchýlky s ich skutočným priebehom.
Nechať nezávisle overiť.
Poverte vhodného audítora a vysvetlite existujúce podklady bez prezentovania neskorších zlepšení ako skoršieho stavu kontrol.
Vyhodnotiť a aktualizovať správu.
Z pohľadu zákazníka spoločne posúďte vyjadrenie, rozsah, obdobie a obmedzenia a dohodnite ďalšie pokrytie dôkazmi pre priebežné používanie.
Čo preukazuje atest C5.
Atest C5 obsahuje výsledok nezávislého overenia opísanej cloudovej služby. Podľa C5:2026, oddielu 3.4.4, typ 1 posudzuje návrh a zavedenie k rozhodnému dňu; typ 2 navyše zahŕňa prevádzkovú účinnosť počas obdobia. Správa k rozhodnému dňu preto zodpovedá inú otázku než správa o priebežnej prevádzke.
Typ 2 nevyžaduje predchádzajúcu správu typu 1. C5:2026, oddiel 3.4.11, stanovuje typ 1 iba pre prvé overovanie. Vhodné overovanie závisí od zákazky, východiskového stavu a potreby dôkazov. Posudzujte úplnú správu a jej obmedzenia spolu s opisom systému; titulná strana ani prezentácia poskytovateľa toto hodnotenie nenahrádzajú.
Atest C5 nemá všeobecnú dobu platnosti podľa vzoru certifikátu. Vzťahuje sa na uvedený rozhodný deň alebo obdobie. Časté otázky BSI vysvetľujú, že staršia správa môže strácať výpovednú hodnotu pre dnešné posudzovanie rizík. Nové regióny, významné zmeny služby alebo chýbajúce časové pokrytie dôkazmi preto patria do aktuálneho rozhodovania zákazníka.
Zaradenie ďalších rámcov do kontextu.
ISO 27001 sa týka systému manažérstva informačnej bezpečnosti a jeho možného certifikačného dokladu. SOC 2 je samostatný systém správ s inými kritériami a podmienkami zákazky. GDPR zakladá zákonné povinnosti pri osobných údajoch; atest C5 nenahrádza ich posúdenie ani úlohy prevádzkovateľa.
V Secani.
Secani poskytuje redakčne vytvorenú pracovnú pomôcku k BSI C5:2026. Profilové údaje zachytávajú okrem iného cloudového poskytovateľa, cloudového zákazníka, doplnkové kritériá, posudzovanie typu 2 a subdodávateľov služieb. Katalóg podporuje systematickú prácu; nie je úradným prekladom ani atestom. Odborné posúdenie a nezávislé rozhodnutie audítora zostávajú samostatnými úlohami.
Začnite s vymedzenou cloudovou službou.
Vyberte konkrétne pomenovanú službu a zaznamenajte potrebu zákazníka. Opíšte región, zodpovednosti a významné závislosti. Následne s plánovaným audítorom vyjasnite, ktoré vydanie a typ správy potrebujete pre dané vyjadrenie. Vznikne tak spoľahlivý základ pre ďalšiu prípravu.
Časté otázky.
Nie. BSI vydáva katalóg kritérií; poverený audítor vyhotovuje audítorskú správu a atest. Certifikát BSI sa pritom nevydáva.
Typ 1 posudzuje návrh a zavedenie k rozhodnému dňu. Typ 2 navyše overuje prevádzkovú účinnosť počas uvedeného obdobia; predchádzajúca správa typu 1 na to nie je potrebná.
Všeobecnú dobu platnosti nemožno uviesť. Správa sa vzťahuje na svoj rozhodný deň alebo obdobie; zákazníci musia posúdiť, či zodpovedá aktuálnemu používaniu, zmenám a potrebnému pokrytiu dôkazmi.
Nie. Zákazníci musia naďalej posudzovať a riešiť úlohy a riziká zostávajúce vo vlastnej zodpovednosti. Patrí sem porovnanie skutočného rozsahu správy s vlastným používaním.
Vymedzte cloudovú službu.
Prediskutujte, ako môžete pracovať s redakčne vytvoreným katalógom C5 v Secani.
Táto stránka všeobecne vysvetľuje C5 a nenahrádza pôvodný katalóg ani odborné posúdenie. Rozhodujúce sú dohodnuté vydanie, konkrétna zákazka overovania a uplatniteľné požiadavky.