D’où vient le CAIQ
La Cloud Security Alliance tient à jour la Cloud Controls Matrix (CCM), un ensemble de contrôles de sécurité pour le cloud regroupés en domaines, ainsi que le Consensus Assessments Initiative Questionnaire (CAIQ) qui porte sur ces contrôles. La version 4 est la version actuelle. Ses domaines comprennent l’audit et l’assurance, la sécurité des applications et des interfaces, la continuité d’activité et la résilience, la gestion des changements, la cryptographie et la gestion des clés, la sécurité et la confidentialité des données, la gouvernance et les risques, les ressources humaines, la gestion des identités et des accès, l’infrastructure et la virtualisation, la journalisation et la surveillance, la gestion des incidents, la chaîne d’approvisionnement et la transparence, ainsi que la gestion des menaces et des vulnérabilités. Chaque contrôle est mis en correspondance avec ISO 27001, SOC 2 et d’autres référentiels.
La responsabilité partagée est intégrée
Contrairement à la plupart des questionnaires, le CAIQ demande à qui appartient chaque contrôle : le fournisseur de services cloud, le client, ou les deux. Un fournisseur SaaS installé sur une grande plateforme d’hébergement se trouve au milieu de cette chaîne. Vous êtes le fournisseur de votre client, et le client de votre hébergeur. La sécurité physique et les contrôles environnementaux du centre de données relèvent de l’hébergeur, alors citez sa certification. L’accès à votre application, les paramètres de chiffrement et le développement sécurisé relèvent de vous. La configuration des comptes utilisateurs et des rôles dans votre produit est généralement partagée avec le client, et la réponse doit le dire clairement.
Comment les réponses sont lues
Le CAIQ attend oui, non ou non applicable, avec une description de la mise en œuvre. C’est cette description que lit le relecteur. « Oui » à « Les clés de chiffrement font-elles l’objet d’une rotation ? » ne dit pas grand-chose ; « Les clés sont gérées dans le service de gestion des clés de l’hébergeur et renouvelées chaque année, avec un accès limité à deux ingénieurs nommément désignés » répond à la question. Lorsqu’un contrôle relève du client, dites ce que votre produit lui fournit pour y satisfaire.
Répondre en tant que fournisseur
Répondez une fois au CAIQ dans son intégralité et envisagez de le publier comme auto-évaluation STAR. Beaucoup de clients l’accepteront au lieu d’envoyer leur propre questionnaire. Les mêmes réponses approuvées servent aussi pour le SIG et les questionnaires construits sur le modèle ISO, car la CCM y est mise en correspondance ; conservez donc les réponses dans une bibliothèque plutôt que dans le tableur lui-même.
Dans Responsemate
Le CAIQ arrive sous forme de tableur, comme n’importe quel autre questionnaire. Chaque ligne est rédigée à partir de votre base de connaissances avec les sources affichées, le CAIQ et les certificats de l’hébergeur y figurent comme preuves avec leurs dates d’expiration, et les réponses sont exportées dans le fichier du client. Les connaissances dans Responsemate.
Questions fréquentes
Quelle est la différence entre la CCM et le CAIQ ?
La Cloud Controls Matrix est la liste des contrôles. Le CAIQ est le questionnaire construit sur cette liste, avec une ou plusieurs questions par contrôle. En répondant au CAIQ, un fournisseur indique quels contrôles de la CCM il a mis en place.
Faut-il publier notre CAIQ ?
Si les clients le demandent souvent, oui. Une auto-évaluation dans le CSA STAR Registry est gratuite, publique et acceptée par de nombreux clients à la place de leur propre questionnaire. Tenez-la à jour, car les relecteurs regardent la date.
Comment répondre aux lignes du CAIQ couvertes par notre hébergeur ?
Indiquez que le contrôle est partagé ou relève de l’hébergeur, citez le CAIQ ou la certification que l’hébergeur publie lui-même, et dites en une phrase ce que vous faites en plus, par exemple la façon dont vous configurez ses services.