Hvor CAIQ kommer fra
Cloud Security Alliance forvalter Cloud Controls Matrix (CCM), et sett sikkerhetskontroller for skytjenester gruppert i domener, og Consensus Assessments Initiative Questionnaire (CAIQ), som spør om dem. Versjon 4 er den gjeldende. Domenene omfatter blant annet revisjon og assurance, applikasjons- og grensesnittsikkerhet, forretningskontinuitet og motstandsdyktighet, endringskontroll, kryptografi og nøkkelhåndtering, datasikkerhet og personvern, styring og risiko, personal, identitets- og tilgangsstyring, infrastruktur og virtualisering, logging og overvåking, hendelseshåndtering, leverandørkjede og åpenhet, samt trussel- og sårbarhetshåndtering. Hver kontroll er mappet mot ISO 27001, SOC 2 og andre rammeverk.
Delt ansvar er innebygd
I motsetning til de fleste spørreskjemaer spør CAIQ hvem som eier hver kontroll: skytjenesteleverandøren, kunden eller begge. En SaaS-leverandør på en stor hostingplattform står midt i den kjeden. Dere er leverandøren overfor kunden, og kunde hos hostingleverandøren. Fysisk sikkerhet og miljøkontrollene i datasenteret hører til hostingleverandøren, så vis til sertifiseringen deres. Tilgang til applikasjonen, krypteringsinnstillinger og sikker utvikling hører til dere. Oppsett av brukerkontoer og roller i produktet er som regel delt med kunden, og svaret bør si det rett ut.
Hvordan svarene leses
CAIQ ber om ja, nei eller ikke relevant, med en beskrivelse av implementeringen. Det er beskrivelsen den som vurderer, leser. «Ja» på «Roteres krypteringsnøkler?» sier lite; «Nøklene forvaltes i hostingleverandørens nøkkeltjeneste og roteres årlig, med tilgang begrenset til to navngitte ingeniører» besvarer spørsmålet. Der en kontroll hører til kunden, si hva produktet deres gir dem for å oppfylle den.
Å svare som leverandør
Besvar CAIQ fullstendig én gang, og vurder å publisere den som en STAR-egenvurdering. Mange kunder godtar den i stedet for å sende sitt eget skjema. De samme godkjente svarene dekker også SIG og ISO-baserte spørreskjemaer, fordi CCM er mappet mot dem, så hold svarene i et bibliotek og ikke i selve regnearket.
I Responsemate
CAIQ kommer som et regneark, akkurat som alle andre spørreskjemaer. Hver rad får et utkast fra kunnskapsbasen din med kildene synlige, hostingleverandørens CAIQ og sertifikater ligger der som dokumentasjon med utløpsdatoer, og svarene eksporteres til kundens egen fil. Kunnskap i Responsemate.
Vanlige spørsmål
Hva er forskjellen mellom CCM og CAIQ?
Cloud Controls Matrix er listen over kontroller. CAIQ er spørreskjemaet som bygger på den, med ett eller flere spørsmål per kontroll. Ved å besvare CAIQ sier en leverandør hvilke CCM-kontroller den har.
Bør vi publisere CAIQ-en vår?
Hvis kunder ofte ber om den, ja. En egenvurdering i CSA STAR Registry er gratis, offentlig og godtas av mange kunder i stedet for deres eget spørreskjema. Hold den oppdatert, fordi de som vurderer, ser på datoen.
Hvordan svarer vi på CAIQ-rader som hostingleverandøren vår dekker?
Merk kontrollen som delt eller leverandøreid, vis til leverandørens egen publiserte CAIQ eller sertifisering, og si i én setning hva dere gjør i tillegg, for eksempel hvordan dere konfigurerer tjenestene deres.