BSI C5.
Razumite katalog meril za storitve v oblaku, izberite ustrezno vrsto poročila in razjasnite odgovornost ponudnika ter stranke.
- BSI C5:2026 · C5:2020 v prehodnem obdobju
- Avtor: Jonathan Bezdek
- Stanje: 22. 10. 2026
- Čas branja: 7 min.
Kratek odgovor.
BSI C5 je katalog meril za informacijsko varnost storitev v oblaku. Neodvisni revizor preveri opisano storitev ter izda revizijsko mnenje s poročilom. C5:2026 razlikuje ugotovitve na presečni datum od dodatnega preverjanja operativne učinkovitosti v določenem obdobju. Stranke same ocenijo poročilo in svoje preostale varnostne naloge; BSI ne izdaja certifikata.
BSI C5 in katalog meril za varnost v oblaku.
BSI C5 ustvarja skupno podlago za preverjanje in presojo varnostnih zagotovil storitve v oblaku. Polno ime je Cloud Computing Compliance Criteria Catalogue. BSI objavlja katalog; ponudnik naroči preverjanje pri pooblaščenem revizorju. Uvodna stran BSI te vloge izrecno ločuje: organ ne izbira revizorjev in ne ocenjuje posameznih poročil.
Objavljena različica je C5:2026. C5:2020 ostaja med prehodom relevanten za določena preverjanja. Zato je treba ob dogovarjanju naročila skupaj opredeliti izdajo, vrsto poročila in časovno mejo. Navedba »preverjeno po C5« pušča odprto, katera storitev je bila preverjena pod kakšnimi pogoji; za nabavno odločitev ne zadostuje.
C5:2026 v razdelku 3.5 predvideva novo izdajo za presečne datume tipa 1 od 1. junija 2027 in obdobja preverjanja tipa 2, ki se začnejo tega dne ali pozneje; možna je zgodnejša uporaba. Obdobja tipa 2, ki se začnejo prej in segajo čez ta datum, naj se še v celoti preverjajo po C5:2020. Za obdobja, ki se končajo 28. februarja 2027 ali pozneje, so že predvideni dodatni podatki o načrtovanih spremembah kontrol. Konkretni prehodni primer uskladite z revizorjem.
Za koga je relevantno revizijsko mnenje C5.
Ponudniki storitev v oblaku uporabljajo C5, da strankam sledljivo predstavijo varnostno delo pri opredeljeni storitvi. Stranke in nabavne ekipe prejmejo informacije za lastno oceno tveganj. Poročilo lahko zadeva infrastrukturo, platforme ali programsko opremo; odločilen je njegov dejanski obseg. Po pogostih vprašanjih BSI ugotovitve veljajo za preverjene storitve in regije, ne na splošno za vse ponudbe skupine.
Ali se zahteva revizijsko mnenje C5, je odvisno od konkretne uporabe in njenih zahtev. Ločeno preverite pogodbe s strankami, nabavne pogoje in veljavna sektorska pravila. Obstoječe poročilo tudi ne odgovori samodejno, ali je storitev primerna za informacije, ki potrebujejo posebno zaščito. Uvodna stran BSI oceno zahtev in preostalih tveganj nalaga stranki.
Katero delo povezuje katalog meril C5.
C5 obravnava organizacijo varnosti storitve v oblaku, pogoje njenega delovanja in delitev nalog. Naslednjih šest delovnih področij je praktična orientacija za pripravo; ne nadomeščajo meril iz poglavja 5 ali usklajenega načrta preverjanja.
Utrdite odgovornost pri storitvi.
Odločitve, operativne naloge in preglede dodelite pristojnim osebam. Organizacijski opis naj razkrije, kdo sme ob odstopanju ukrepati in kdo spremlja odpravo. Tako se izognete predpostavki, da vse operativne naloge prevzame samo koordinacijska varnostna funkcija.
Opredelite storitev in odvisnosti.
Opišite, katere storitve, regije in podporni ponudniki so zajeti v ugotovitvah. Tehnična odvisnost je lahko pomembna za varnost tudi, če je pogodbeno oddana zunanjemu izvajalcu. Sledljivo zabeležite, katera zagotovila prejemate od drugih in katere naloge ostajajo v lastnem delovanju.
Zaščitite dostope in informacije.
Ravnanje z informacijami strank obravnavajte skozi dejansko storitev. V praktičen pregled sodijo uporabniške in skrbniške poti ter odgovornost za konfiguracijo in pravice. Preverite tudi predaje med ponudnikom in stranko; varno upravljana osnovna infrastruktura sama ne odgovori na strankina vprašanja konfiguracije.
Ohranite sledljivost delovanja in sprememb.
Povežite določene postopke z zapisi iz njihove uporabe. Sprememba storitve lahko zadeva druga dokazila in odgovorne osebe kot nespremenjena faza delovanja. Za pripravo je zato koristno časovno umestiti relevantne spremembe in zagotoviti ustrezne dokumente, namesto da pokažete samo današnje stanje.
Pripravite se na motnje.
Razjasnite pristojnosti za incidente, komunikacijo in ponovni zagon. Praktična vaja lahko pokaže, ali predaje in eskalacije delujejo. Vaje označite kot take in shranite rezultate; izmišljeni dogodki se ne smejo prikazovati kot zgodovinska dokazila delovanja. Podrobnejša organizacija dokazil je obravnavana v obstoječem prispevku o C5.
Zagotovite preglednost za stranke.
C5:2026 v poglavju 4 opisuje okvirne pogoje, ki jih stranke potrebujejo za presojo. Obseg preverjanja in preostale naloge stranke predstavite tako, da bralci lahko umestijo svojo uporabo. Splošna varnostna trditev pomaga manj kot razumljiv opis konkretne meje odgovornosti in možnih omejitev.
Pot do revizijskega mnenja C5.
Razjasnite potrebe po dokazilih.
Za praktičen začetek ugotovite, katere stranke pričakujejo poročilo za katero storitev ter katera izdaja, vrsta poročila in časovna meja ustrezajo temu.
Opišite obseg preverjanja.
Storitve, regije, sodelujoče organizacije in odvisnosti opredelite tako, da predvideni revizor lahko presodi naročilo in njegove vmesnike.
Pripravite izvajanje kontrol.
S pristojnimi ekipami razjasnite veljavna merila in odgovornosti ter pred začetkom predvidenega obdobja obravnave uskladite pričakovana dokazila.
Ohranite operativne zapise.
Hranite sledljiva dokazila za dogovorjeno časovno mejo ter zabeležite dejanski potek sprememb in ugotovljenih odstopanj.
Naročite neodvisno preverjanje.
Naročite ustrezno neodvisno revizijo in pojasnite obstoječe dokumente, ne da bi poznejše izboljšave prikazali kot prejšnje stanje kontrol.
Ocenite in posodabljajte poročilo.
Z vidika stranke skupaj preverite ugotovitve, obseg, obdobje in omejitve ter dogovorite nadaljnjo pokritost z dokazili za tekočo uporabo.
Kaj dokazuje revizijsko mnenje C5.
Revizijsko mnenje C5 vsebuje rezultat neodvisnega preverjanja opisane storitve v oblaku. Po C5:2026, razdelek 3.4.4, tip 1 obravnava zasnovo in vzpostavitev na presečni datum; tip 2 dodatno vključuje operativno učinkovitost v obdobju. Poročilo na presečni datum zato odgovarja na drugo vprašanje kot poročilo o tekočem delovanju.
Tip 2 ne zahteva predhodnega poročila tipa 1. C5:2026 v razdelku 3.4.11 tip 1 predvideva samo za prvo preverjanje. Katero preverjanje je primerno, je odvisno od naročila, izhodišča in potreb po dokazovanju. Celotno poročilo in njegove omejitve preverite skupaj z opisom sistema; naslovnica ali predstavitev ponudnika te presoje ne moreta nadomestiti.
Revizijsko mnenje C5 nima splošne veljavnosti po vzoru certifikata. Nanaša se na navedeni presečni datum ali obdobje. Pogosta vprašanja BSI pojasnjujejo, da lahko starejše poročilo izgubi dokazno vrednost za današnjo oceno tveganj. Nove regije, bistvene spremembe storitve ali časovne vrzeli v dokazilih zato sodijo v trenutno odločitev stranke.
Umestitev drugih okvirov.
ISO 27001 zadeva sistem upravljanja informacijske varnosti in njegovo možno dokazovanje s certifikatom. SOC 2 je samostojen sistem poročanja z drugimi merili in pogoji naročila. GDPR uvaja zakonske obveznosti pri osebnih podatkih; revizijsko mnenje C5 ne nadomešča njihovega preverjanja in nalog upravljavca.
V Secani.
Secani vsebuje uredniški pripomoček za BSI C5:2026. Podatki profila med drugim zajemajo ponudnika storitev v oblaku, stranko, dodatna merila, obravnavo tipa 2 in podizvajalce storitev. Katalog podpira strukturirano obravnavo; ni uradni prevod ali revizijsko mnenje. Strokovna presoja in neodvisna revizijska odločitev ostajata samostojni nalogi.
Začnite z opredeljeno storitvijo v oblaku.
Izberite konkretno poimenovano storitev in zabeležite potrebe stranke. Opišite regijo, pristojnosti in bistvene odvisnosti. Nato s predvidenim revizorjem razjasnite, katera izdaja in vrsta poročila sta potrebni za te ugotovitve. Tako nastane trdna podlaga za nadaljnjo pripravo.
Pogosta vprašanja.
Ne. BSI objavlja katalog meril; naročeni neodvisni revizor pripravi revizijsko poročilo in mnenje. Pri tem se ne izda certifikat BSI.
Tip 1 obravnava zasnovo in vzpostavitev na presečni datum. Tip 2 dodatno preverja operativno učinkovitost v navedenem obdobju; predhodno poročilo tipa 1 za to ni potrebno.
Splošnega obdobja veljavnosti ni mogoče navesti. Poročilo se nanaša na svoj presečni datum ali obdobje; stranke morajo presoditi, ali ustreza trenutni uporabi, spremembam in potrebni pokritosti z dokazili.
Ne. Stranke morajo še naprej ocenjevati in obravnavati naloge in tveganja, ki ostajajo v njihovi odgovornosti. Sem sodi primerjava dejanskega obsega poročila z lastno uporabo.
Opredelite storitev v oblaku.
Pogovorite se o tem, kako lahko v Secani obravnavate uredniški katalog C5.
Ta stran na splošno pojasnjuje C5 in ne nadomešča izvirnega kataloga ali strokovnega preverjanja. Odločilni so dogovorjena izdaja, konkretno naročilo preverjanja in veljavne zahteve.