Waar de CAIQ vandaan komt
De Cloud Security Alliance beheert de Cloud Controls Matrix (CCM), een set beveiligingsmaatregelen voor cloudcomputing, ingedeeld in domeinen, en de Consensus Assessments Initiative Questionnaire (CAIQ) die ernaar vraagt. Versie 4 is de huidige. De domeinen omvatten onder meer audit en assurance, applicatie- en interfacebeveiliging, bedrijfscontinuïteit en weerbaarheid, wijzigingsbeheer, cryptografie en sleutelbeheer, gegevensbeveiliging en privacy, governance en risico, personeelszaken, identiteits- en toegangsbeheer, infrastructuur en virtualisatie, logging en monitoring, incidentbeheer, toeleveringsketen en transparantie, en dreigings- en kwetsbaarheidsbeheer. Elke maatregel is gekoppeld aan ISO 27001, SOC 2 en andere raamwerken.
Gedeelde verantwoordelijkheid is ingebouwd
Anders dan de meeste vragenlijsten vraagt de CAIQ wie eigenaar is van elke maatregel: de cloudaanbieder, de klant of beide. Een SaaS-leverancier op een groot hostingplatform zit midden in die keten. U bent de aanbieder voor uw klant, en zelf klant van uw hostingaanbieder. Fysieke beveiliging en de omgevingsmaatregelen van het datacenter horen bij de hostingaanbieder, dus verwijs naar diens certificering. Toegang tot uw applicatie, versleutelingsinstellingen en veilige ontwikkeling horen bij u. Het configureren van gebruikersaccounts en rollen in uw product is meestal gedeeld met de klant, en het antwoord moet dat gewoon zeggen.
Hoe de antwoorden worden gelezen
De CAIQ vraagt om ja, nee of niet van toepassing, met een beschrijving van de implementatie. Die beschrijving is wat een beoordelaar leest. “Ja” op “Worden encryptiesleutels geroteerd?” zegt weinig; “Sleutels worden beheerd in de sleuteldienst van de hostingaanbieder en jaarlijks geroteerd, met toegang beperkt tot twee benoemde engineers” beantwoordt de vraag. Ligt een maatregel bij de klant, zeg dan wat uw product hem biedt om eraan te voldoen.
Antwoorden als leverancier
Beantwoord de CAIQ één keer volledig en overweeg die te publiceren als STAR-zelfbeoordeling. Veel klanten accepteren die in plaats van hun eigen vragenlijst. Dezelfde goedgekeurde antwoorden dienen ook voor de SIG en voor vragenlijsten op basis van ISO, omdat de CCM daarop aansluit, dus bewaar de antwoorden in een bibliotheek en niet in de spreadsheet zelf.
In Responsemate
De CAIQ komt binnen als spreadsheet, net als elke andere vragenlijst. Elke rij wordt opgesteld vanuit uw kennisbank met de bronnen erbij, de CAIQ en de certificaten van de hostingaanbieder staan daar als bewijs met hun vervaldatums, en de antwoorden worden geëxporteerd naar het eigen bestand van de klant. Kennis in Responsemate.
Veelgestelde vragen
Wat is het verschil tussen de CCM en de CAIQ?
De Cloud Controls Matrix is de lijst met maatregelen. De CAIQ is de vragenlijst die erop is gebouwd, met een of meer vragen per maatregel. Door de CAIQ te beantwoorden geeft een aanbieder aan welke CCM-maatregelen hij heeft.
Moeten we onze CAIQ publiceren?
Als klanten er vaak om vragen, ja. Een zelfbeoordeling in het CSA STAR Registry is gratis en openbaar, en veel klanten accepteren hem in plaats van hun eigen vragenlijst. Houd hem actueel, want beoordelaars kijken naar de datum.
Hoe beantwoorden we CAIQ-rijen die onze hostingaanbieder afdekt?
Markeer de maatregel als gedeeld of als taak van de aanbieder, verwijs naar de eigen gepubliceerde CAIQ of certificering van de aanbieder, en zeg in één zin wat u daar zelf aan toevoegt, bijvoorbeeld hoe u hun diensten configureert.