Hvor CAIQ kommer fra
Cloud Security Alliance vedligeholder Cloud Controls Matrix (CCM), et sæt sikkerhedskontroller til cloud computing grupperet i domæner, og Consensus Assessments Initiative Questionnaire (CAIQ), der spørger til dem. Version 4 er den gældende. Domænerne omfatter revision og assurance, applikations- og grænsefladesikkerhed, forretningskontinuitet og robusthed, ændringsstyring, kryptografi og nøglehåndtering, datasikkerhed og privatliv, governance og risiko, HR, identitets- og adgangsstyring, infrastruktur og virtualisering, logning og overvågning, hændelseshåndtering, forsyningskæde og gennemsigtighed samt trussels- og sårbarhedsstyring. Hver kontrol er kortlagt mod ISO 27001, SOC 2 og andre rammeværker.
Delt ansvar er bygget ind
I modsætning til de fleste spørgeskemaer spørger CAIQ, hvem der ejer hver kontrol: cloududbyderen, kunden eller begge. En SaaS-leverandør på en stor hostingplatform står midt i den kæde. Du er udbyder for din kunde og selv kunde hos din hostingudbyder. Fysisk sikkerhed og datacentrets miljøkontroller hører under hostingudbyderen, så henvis til dens certificering. Adgang til din applikation, krypteringsindstillinger og sikker udvikling hører under dig. Opsætning af brugerkonti og roller i dit produkt deles som regel med kunden, og det bør svaret sige ligeud.
Sådan bliver svarene læst
CAIQ beder om ja, nej eller ikke relevant med en beskrivelse af implementeringen. Det er beskrivelsen, den, der gennemgår, læser. "Ja" til "Roteres krypteringsnøgler?" siger ikke meget; "Nøglerne administreres i hostingudbyderens nøgletjeneste og roteres årligt, med adgang begrænset til to navngivne udviklere" besvarer spørgsmålet. Hvor en kontrol ligger hos kunden, så beskriv, hvad dit produkt giver kunden til at opfylde den.
At svare som leverandør
Besvar CAIQ fuldt ud én gang, og overvej at offentliggøre den som en STAR-selvevaluering. Mange kunder vil acceptere den i stedet for at sende deres eget spørgeskema. De samme godkendte svar dækker også SIG og spørgeskemaer bygget på ISO, fordi CCM er kortlagt mod dem, så hold svarene i et bibliotek frem for i selve regnearket.
I Responsemate
CAIQ kommer som et regneark ligesom ethvert andet spørgeskema. Hver række udarbejdes ud fra din vidensbase med kilderne vist, hostingudbyderens CAIQ og certifikater ligger der som dokumentation med deres udløbsdatoer, og svarene eksporteres til kundens egen fil. Viden i Responsemate.
Spørgsmål, folk stiller
Hvad er forskellen på CCM og CAIQ?
Cloud Controls Matrix er listen over kontroller. CAIQ er spørgeskemaet, der bygger på den, med et eller flere spørgsmål pr. kontrol. Når en udbyder besvarer CAIQ, angiver den, hvilke CCM-kontroller den har.
Skal vi offentliggøre vores CAIQ?
Hvis kunderne ofte beder om den, ja. En selvevaluering i CSA STAR Registry er gratis, offentlig og accepteres af mange kunder i stedet for deres eget spørgeskema. Hold den opdateret, for dem, der gennemgår, kigger på datoen.
Hvordan besvarer vi CAIQ-rækker, som vores hostingudbyder dækker?
Markér kontrollen som delt eller ejet af udbyderen, henvis til udbyderens egen offentliggjorte CAIQ eller certificering, og skriv i én sætning, hvad du selv gør oveni, for eksempel hvordan du konfigurerer udbyderens tjenester.