De dónde viene el CAIQ
La Cloud Security Alliance mantiene la Cloud Controls Matrix (CCM), un conjunto de controles de seguridad para la computación en la nube agrupados en dominios, y el Consensus Assessments Initiative Questionnaire (CAIQ), que pregunta por ellos. La versión 4 es la actual. Sus dominios incluyen auditoría y aseguramiento, seguridad de aplicaciones e interfaces, continuidad del negocio y resiliencia, control de cambios, criptografía y gestión de claves, seguridad y privacidad de los datos, gobernanza y riesgo, recursos humanos, gestión de identidades y accesos, infraestructura y virtualización, registro y monitorización, gestión de incidentes, cadena de suministro y transparencia, y gestión de amenazas y vulnerabilidades. Cada control se mapea con ISO 27001, SOC 2 y otros marcos.
La responsabilidad compartida viene de serie
A diferencia de la mayoría de los cuestionarios, el CAIQ pregunta a quién corresponde cada control: al proveedor de servicios en la nube, al cliente o a ambos. Un proveedor SaaS que funciona sobre una gran plataforma de alojamiento está en medio de esa cadena. Usted es el proveedor de su cliente y, a la vez, cliente de su proveedor de alojamiento. La seguridad física y los controles ambientales del centro de datos corresponden al proveedor de alojamiento, así que cite su certificación. El acceso a su aplicación, la configuración del cifrado y el desarrollo seguro le corresponden a usted. La configuración de cuentas de usuario y roles en su producto suele compartirse con el cliente, y la respuesta debe decirlo con claridad.
Cómo se leen las respuestas
El CAIQ pregunta sí, no o no aplicable, con una descripción de la implementación. Esa descripción es lo que lee el revisor. Un «sí» a «¿Se rotan las claves de cifrado?» dice poco; «Las claves se gestionan en el servicio de claves del proveedor de alojamiento y se rotan cada año, con el acceso limitado a dos ingenieros designados» responde a la pregunta. Cuando un control corresponde al cliente, indique qué le ofrece su producto para cumplirlo.
Responder como proveedor
Responda al CAIQ completo una vez y considere publicarlo como autoevaluación STAR. Muchos clientes lo aceptarán en lugar de enviar el suyo. Las mismas respuestas aprobadas sirven también para el SIG y para los cuestionarios basados en ISO, porque la CCM se mapea con ellos, así que conserve las respuestas en una biblioteca y no en la propia hoja de cálculo.
En Responsemate
El CAIQ llega como una hoja de cálculo, igual que cualquier otro cuestionario. Cada fila se redacta a partir de su base de conocimiento con las fuentes visibles, el CAIQ y los certificados del proveedor de alojamiento están ahí como evidencia con sus fechas de caducidad, y las respuestas se exportan al propio archivo del cliente. Conocimiento en Responsemate.
Preguntas que hacen las personas
¿Cuál es la diferencia entre la CCM y el CAIQ?
La Cloud Controls Matrix es la lista de controles. El CAIQ es el cuestionario construido sobre ella, con una o más preguntas por control. Responder al CAIQ es la forma en que un proveedor indica qué controles de la CCM tiene.
¿Deberíamos publicar nuestro CAIQ?
Si los clientes lo piden a menudo, sí. Una autoevaluación en el CSA STAR Registry es gratuita, pública y muchos clientes la aceptan en lugar de su propio cuestionario. Manténgala al día, porque los revisores miran la fecha.
¿Cómo respondemos a las filas del CAIQ que cubre nuestro proveedor de alojamiento?
Marque el control como compartido o a cargo del proveedor, cite el CAIQ o la certificación que el propio proveedor publica e indique en una frase lo que usted añade, por ejemplo cómo configura sus servicios.