Atestacija C5: pripravite dokazila o zagotovilih za oblak

Stranka oblačne storitve želi vedeti, katere zaščitne ukrepe izvaja ponudnik in kateri ostajajo njena lastna odgovornost. Nemški zvezni urad za informacijsko varnost (BSI) objavlja katalog meril za skladnost računalništva v oblaku, C5, kot strukturirano podlago za preverjanje teh zagotovil. Za tehničnega direktorja priprava pomeni, da mejo storitve, izvedbo kontrol in operativne zapise naredi pregledne – ne le zbere politike.

C5 je katalog meril, ki se uporablja za neodvisno atestacijo, ne certifikacija po vzoru ISO. Dokumentacija BSI o C5 je primarni vir. Začnite tako, da se z neodvisnim revizorjem dogovorite o veljavni izdaji, cilju zagotovila in obsegu preverjanja.

Natančno opredelite, katero storitev bo poročilo zajemalo

Opišite oblačno storitev, lokacije delovanja, organizacijske meje in odvisnosti. Poročilo, ki zajema eno storitev, samodejno ne zajema vseh izdelkov pod isto blagovno znamko. Opredelite produkcijske komponente, upravljalne vmesnike, podporne dejavnosti in zunanje storitve, ki lahko vplivajo na trditve o zagotovilih.

Opis sistema mora zunanjemu bralcu omogočiti, da razume, kako podatki strank vstopajo v storitev, se po njej premikajo in jo zapuščajo. Vključite administrativne poti, postopke uvajanja, varnostno spremljanje, varnostne kopije in delitev odgovornosti med ekipami. Pojasnite ustrezne značilnosti storitve in pogoje delovanja, namesto da bi pripoved nadomestili z arhitekturnimi diagrami.

Ta vprašanja o obsegu razrešite, preden začnete zbirati dokazila:

• Kateri izdelki, regije in okolja so vključeni?
• Katere ekipe upravljajo produkcijo ali lahko dostopajo do informacij strank?
• Kateri osnovni ponudniki podpirajo storitev in kako se obravnavajo njihove kontrole?
• Katere konfiguracije in varnostne naloge ostajajo pri strankah?
• Do katerih pomembnih sprememb je prišlo ali so načrtovane v obdobju preverjanja?

Izključitve izrecno utemeljite. Če je starejša namestitev izključena, poskrbite, da izjave za stranke ne namigujejo, da je zajeta. Rezultat je opis sistema z različicami, ki ga podpirajo zapisi o arhitekturi, odvisnostih in odgovornostih.

Vrsto poročila izberite, preden določite koledar dokazil

Zagotovilo C5 se praviloma izrazi z revizorjevim atestacijskim poročilom. Tip 1 obravnava zasnovo in izvedbo kontrol na določen dan. Tip 2 dodatno preverja operativno učinkovitost v določenem obdobju.

Tip 1 je lahko koristen mejnik pri vzpostavljanju okolja kontrol, vendar ne odgovarja na isto vprašanje kot tip 2. Preden izberete vmesno poročilo, preverite, kaj stranke dejansko zahtevajo.

Obdobje in pričakovanja glede dokazil dogovorite z revizorjem. Ne predpostavljajte univerzalne dolžine opazovanja. Postopek, zapisan proti koncu obdobja, ne more dokazati, da je kontrola delovala že prej. Prav tako uspešen trenutni test ne izbriše pretekle napake.

Dokazila gradite okoli odgovornosti in izvajanja

Kot praktično metodo priprave vzpostavite register dokazil, ki vsako veljavno merilo povezuje z izvedeno kontrolo, lastnikom, mejo storitve, virom dokazil, pogostostjo pregledov in nerešenimi vrzelmi. Zabeležite odločitve o uporabnosti in njihovo utemeljitev; merila ne označite kot nerelevantnega samo zato, ker bi bila izvedba težavna.

Ločite tri vprašanja: kaj naj bi se zgodilo, kaj je izvedeno in kaj se je dejansko zgodilo. Politika odgovarja na prvo. Zapisi o konfiguraciji lahko podpirajo drugo. Zahtevki, dnevniki, odobritve in rezultati testov podpirajo tretje.

To so praktični primeri, ne popoln kontrolni seznam C5. Zahtevano pokritost, vključno z organizacijskimi, kadrovskimi, fizičnimi in tehničnimi kontrolami, določite na podlagi dogovorjenega kataloga in obsega.

Dokazila naj bodo ponovljiva

Za vsak izvoz ali posnetek zaslona shranite izvorni sistem, datum zbiranja, ustrezno obdobje, filtre in osebo, ki je dokazilo zbrala. Pojasnite, ali predstavlja celotno populacijo ali izbrano postavko. Revizorji morajo razumeti populacijo, iz katere izbirajo vzorce; mapa, ki vsebuje le uspešne primere, ne zadostuje.

Prednost dajte zapisom, ki ohranjajo akterja, časovni žig, dejanje in izid. Dokazila zaščitite pred nepooblaščenim spreminjanjem in se izogibajte nepotrebnemu razkrivanju podatkov strank. Kjer je potrebno prekrivanje, ohranite dovolj konteksta, da pregledovalec razume, kaj zapis dokazuje.

Ločite podedovane kontrole od obveznosti, ki ostajajo pri vas

Zagotovila ponudnika infrastrukture lahko podpirajo fizično varnost ali kontrole osnovne platforme. Ne dokazujejo pa, da avtorizacija najemnikov v vaši aplikaciji deluje. Dokumentirajte odvisnost, ustrezni obseg poročila, obdobje, izjeme in odgovornosti, ki jih mora vaša ekipa še vedno izpolniti.

Tudi dopolnilne kontrole strank potrebujejo praktično ubeseditev. „Stranka je odgovorna za varnost“ je preširoko. Navedite naloge, kot so upravljanje uporabnikov najemnika, konfiguriranje federacije identitet ali pregledovanje politik dostopa, ki jih nadzoruje stranka. Te odgovornosti naj bodo dosledne v opisu sistema, dokumentaciji storitve in pogodbenih dogovorih.

Pripravo vodite kot inženirski program

Začnite z analizo vrzeli glede na dogovorjena merila. Ločite manjkajočo izvedbo od manjkajočih dokazil: zahtevata različna popravna ravnanja. Nedokumentiran pregled morda zahteva boljše zapise; pregled dostopov, ki ni bil nikoli izveden, zahteva operativno kontrolo.

Vsaki vrzeli dodelite lastnika, popravni ukrep, odvisnost in ciljni datum. Prednost dajte težavam, ki vplivajo na ločenost najemnikov, privilegirani dostop, produkcijske spremembe, odzivanje na incidente in zmožnost obnove glede na tveganja storitve – ne le najlažjim dokumentacijskim nalogam.

Pred obdobjem za tip 2 preverite, ali imajo ponavljajoče se kontrole izvedljive urnike in trajne zapise. Potrdite, kdo jih izvaja med odsotnostjo ali ob menjavi zaposlenih. Pri kontrolah, ki jih sprožijo dogodki, na primer ukinitev računa, poskrbite, da je mogoče prepoznati populacijo sprožilnih dogodkov.

Izvedite preizkus pripravljenosti z reprezentativnimi dokazili. Eno spremembo spremljajte od zahteve do uvedbe, enega odhajajočega administratorja do odvzema pravic in eno vajo obnove do korektivnega ukrepa. Tako se razkrijejo prekinjene predaje, ki jih pregled politik lahko spregleda.

Med preverjanjem vodite register zahtev z lastniki in statusom odgovorov. Izvirni zapisi naj bodo na voljo, neskladja odkrito pojasnite in odpravo spremljajte ločeno od preteklih dokazil. Starih zapisov ne prepisujte, da bi bili videti skladni. Revizor določi, kako ugotovitve vplivajo na testiranje in mnenje.

Primer iz prakse: upravljana aplikacija na zunanji infrastrukturi

Za ponazoritev predpostavimo, da ponudnik upravlja aplikacijo za več najemnikov v eni regiji, uporablja zunanjega ponudnika infrastrukture in si prizadeva za zagotovilo tipa 2. Njegova ekipa nadzoruje izdaje aplikacije, dovoljenja najemnikov, upravljanje produkcije in postopke obnove.

Opis obsega opredeli aplikacijo, podatkovno zbirko, upravljalno ravnino, podporna orodja in odvisnost od infrastrukture. Pojasni, katere osnovne kontrole so podedovane in katere ostajajo pri ponudniku aplikacije.

Za izolacijo najemnikov ekipa beleži zasnovo avtorizacije, avtomatizirane negativne teste, ugotovitve varnostnih testov in odobritve izdaj. Hrani tudi zapise o spremembah, ki kažejo, kdaj se je logika avtorizacije spremenila. Poročilo o infrastrukturi je podporno dokazilo o odvisnosti, ne dokaz izolacije aplikacije.

Za privilegirani dostop ekipa hrani populacijo administratorjev, odobritve dodelitev, odločitve pregledov in zapise o odstranitvah. Recimo, da pregled odkrije neuporabljen podporni račun. Ekipa zabeleži odkritje, odvzem, oceno izpostavljenosti in preventivni ukrep. To je bolj verodostojno, kot če predloži le prečiščen seznam računov.

Za obnovo hrani rezultat testa obnove, ki kaže, kaj je bilo obnovljeno, pretečeni čas, preverjanja celovitosti podatkov in nerešene omejitve. Konfigurirano opravilo varnostnega kopiranja samo po sebi ne dokazuje zmožnosti obnove. Vsak nabor dokazil ima lastnika in opredeljeno obdobje, tako da lahko revizor zapise poveže s preverjano kontrolo.

Delo za zagotovila uporabite večkrat, ne da bi trdili, da je enakovredno

ISO/IEC 27001 se nanaša na sistem upravljanja informacijske varnosti v opredeljenem obsegu. SOC 2 je atestacijsko poročilo z lastnimi merili in kontekstom poročanja. C5 se osredotoča na zagotovila za oblačne storitve po katalogu BSI.

Obstoječe ocene tveganj, kontrole dostopa, postopki za incidente in operativni zapisi lahko podpirajo več programov. Ponovno jih uporabite prek preslikav, specifičnih za različico in obseg, nato pa preverite razlike v zahtevah ali poročanju. Skupna kontrola ne pomeni samodejne enakovrednosti med ogrodji.

Portfelj zagotovil izberite na podlagi dejanskih zahtev strank in tveganj storitve. C5 ni splošno obvezen za vsakega ponudnika oblačnih storitev; zahteve iz javnih naročil, pogodb ali veljavne sektorske ureditve je treba pregledati ločeno. Niti poročilo C5 niti kateri drug dokument o zagotovilih sam po sebi ne dokazuje skladnosti z GDPR ali NIS2.

Poročilo pripravite za odločitve strank

Stranke potrebujejo opis sistema, datum ali obdobje, dejansko mnenje, izjeme in meje odgovornosti – ne le oznako poročila. Pri deljenju poročil spoštujte pogodbeno zaupnost in zagotovite kontekst za oceno stranke.

Stanje odprave pojasnite, ne da bi namigovali, da poznejši popravki spremenijo preteklo mnenje. Če je obdobje poročila pred veliko arhitekturno spremembo, to omejitev navedite. Ponavljajoča se preverjanja dogovorite glede na pričakovanja strank in spremembe delovanja, namesto da bi atestacijo obravnavali kot brezčasno poverilnico.

Secani ekipam pomaga povezati izvedbo kontrol in dokazila s pregledanimi zahtevami. Modelirajte storitev in odvisnosti, dodelite lastnike in pregledovalce, priložite podporne zapise in vrzeli v dokazilih pretvorite v naloge. Človeška odobritev preslikav in sklepov naj ostane izrecna. Model pripravljenosti na presojo pomaga ohraniti obseg in odgovornost za vsako trditvijo.

Vprašanja, ki jih je treba razrešiti pred prvim preverjanjem

Ali poročilo izda BSI?

BSI objavlja katalog. Preverjanje izvede neodvisni revizor, ki izda tudi atestacijsko poročilo; veljavni okvir zagotovil in pogoje angažmaja potrdite s tem revizorjem.

Kaj, če se ni zgodil noben resničen incident?

Zapisa o incidentu si ne izmišljujte. Hranite dokazila, da je bil postopek izveden in po potrebi preizkušen z vajo. Z revizorjem se dogovorite, kako odsotnost dogodkov vpliva na testiranje.

Kaj naj ekipa stori naslednje?

Vzemite eno reprezentativno produkcijsko storitev in pripravite njen opis obsega, matriko odgovornosti in register dokazil. Te tri rezultate preglejte s predvidenim revizorjem, preden sestavite obsežen paket dokazil.