Woher der CAIQ kommt
Die Cloud Security Alliance pflegt die Cloud Controls Matrix (CCM), einen in Domänen gegliederten Katalog von Sicherheitskontrollen für Cloud Computing, und den Consensus Assessments Initiative Questionnaire (CAIQ), der danach fragt. Aktuell ist Version 4. Zu den Domänen gehören Audit und Assurance, Anwendungs- und Schnittstellensicherheit, Business Continuity und Resilienz, Änderungssteuerung, Kryptografie und Schlüsselverwaltung, Datensicherheit und Datenschutz, Governance und Risiko, Personalwesen, Identitäts- und Zugriffsmanagement, Infrastruktur und Virtualisierung, Protokollierung und Überwachung, Incident-Management, Lieferkette und Transparenz sowie Bedrohungs- und Schwachstellenmanagement. Jede Kontrolle ist auf ISO 27001, SOC 2 und weitere Rahmenwerke abgebildet.
Geteilte Verantwortung ist eingebaut
Anders als die meisten Fragebögen fragt der CAIQ, wem jede Kontrolle gehört: dem Cloud-Anbieter, dem Kunden oder beiden. Ein SaaS-Anbieter auf einer großen Hosting-Plattform steht mitten in dieser Kette. Für Ihren Kunden sind Sie der Anbieter, für Ihren Hosting-Anbieter der Kunde. Physische Sicherheit und die Umgebungskontrollen des Rechenzentrums liegen beim Hosting-Anbieter, verweisen Sie also auf dessen Zertifizierung. Der Zugriff auf Ihre Anwendung, die Verschlüsselungseinstellungen und die sichere Entwicklung liegen bei Ihnen. Die Einrichtung von Benutzerkonten und Rollen in Ihrem Produkt teilen Sie sich meist mit dem Kunden, und die Antwort sollte das klar sagen.
Wie die Antworten gelesen werden
Der CAIQ fragt nach Ja, Nein oder Nicht anwendbar, dazu eine Beschreibung der Umsetzung. Diese Beschreibung ist das, was ein Prüfer liest. „Ja“ auf „Werden Verschlüsselungsschlüssel rotiert?“ sagt wenig; „Die Schlüssel werden im Schlüsseldienst des Hosting-Anbieters verwaltet und jährlich rotiert, der Zugriff ist auf zwei namentlich benannte Engineers beschränkt“ beantwortet die Frage. Wo eine Kontrolle beim Kunden liegt, sagen Sie, was Ihr Produkt ihm bietet, um sie zu erfüllen.
Antworten als Lieferant
Beantworten Sie den CAIQ einmal vollständig und überlegen Sie, ihn als STAR-Selbstbewertung zu veröffentlichen. Viele Kunden akzeptieren ihn, statt einen eigenen Fragebogen zu schicken. Dieselben freigegebenen Antworten dienen auch für den SIG und für Fragebögen nach ISO-Muster, weil die CCM auf diese abgebildet ist. Halten Sie die Antworten deshalb in einer Bibliothek und nicht in der Tabelle selbst.
In Responsemate
Der CAIQ kommt wie jeder andere Fragebogen als Tabelle. Jede Zeile wird aus Ihrer Wissensdatenbank entworfen, mit den Quellen daneben, der CAIQ und die Zertifikate des Hosting-Anbieters liegen dort als Nachweise mit ihrem Ablaufdatum, und die Antworten werden in die Datei des Kunden exportiert. Wissen in Responsemate.
Häufige Fragen
Was ist der Unterschied zwischen CCM und CAIQ?
Die Cloud Controls Matrix ist die Liste der Kontrollen. Der CAIQ ist der darauf aufbauende Fragebogen, mit einer oder mehreren Fragen je Kontrolle. Mit dem ausgefüllten CAIQ zeigt ein Anbieter, welche CCM-Kontrollen er umgesetzt hat.
Sollten wir unseren CAIQ veröffentlichen?
Wenn Kunden oft danach fragen, ja. Eine Selbstbewertung im CSA STAR Registry ist kostenlos und öffentlich, und viele Kunden akzeptieren sie anstelle ihres eigenen Fragebogens. Halten Sie sie aktuell, denn Prüfer achten auf das Datum.
Wie beantworten wir CAIQ-Zeilen, die unser Hosting-Anbieter abdeckt?
Kennzeichnen Sie die Kontrolle als geteilt oder als Sache des Anbieters, verweisen Sie auf den veröffentlichten CAIQ oder die Zertifizierung des Anbieters und sagen Sie in einem Satz, was Sie darüber hinaus tun, etwa wie Sie dessen Dienste konfigurieren.