Var CAIQ kommer ifrån
Cloud Security Alliance förvaltar Cloud Controls Matrix (CCM), en uppsättning säkerhetskontroller för molntjänster grupperade i domäner, och Consensus Assessments Initiative Questionnaire (CAIQ) som frågar om dem. Version 4 är den aktuella. Domänerna omfattar bland annat revision och säkring, applikations- och gränssnittssäkerhet, kontinuitet och motståndskraft, ändringshantering, kryptografi och nyckelhantering, datasäkerhet och integritet, styrning och risk, personal, identitets- och åtkomsthantering, infrastruktur och virtualisering, loggning och övervakning, incidenthantering, leveranskedja och transparens samt hot- och sårbarhetshantering. Varje kontroll mappar mot ISO 27001, SOC 2 och andra ramverk.
Delat ansvar är inbyggt
Till skillnad från de flesta frågeformulär frågar CAIQ vem som äger varje kontroll: molntjänstleverantören, kunden eller båda. En SaaS-leverantör på en stor hostingplattform befinner sig mitt i den kedjan. Du är leverantör till din kund och kund hos din hostingleverantör. Fysisk säkerhet och datacentrets miljöskydd tillhör hostingleverantören, så hänvisa till dess certifiering. Åtkomst till din applikation, krypteringsinställningar och säker utveckling tillhör dig. Att konfigurera användarkonton och roller i din produkt är oftast ett delat ansvar med kunden, och svaret bör säga det rakt ut.
Hur svaren läses
CAIQ frågar ja, nej eller inte tillämpligt, med en beskrivning av implementeringen. Det är beskrivningen granskaren läser. Ett ”Ja” på ”Roteras krypteringsnycklar?” säger lite; ”Nycklarna hanteras i hostingleverantörens nyckeltjänst och roteras årligen, med åtkomst begränsad till två namngivna ingenjörer” besvarar frågan. Där en kontroll är kundens, beskriv vad din produkt ger kunden för att uppfylla den.
Att svara som leverantör
Besvara CAIQ fullständigt en gång och överväg att publicera det som en STAR-självbedömning. Många kunder godtar den i stället för att skicka sitt eget frågeformulär. Samma godkända svar fungerar också för SIG och ISO-formade frågeformulär, eftersom CCM mappar mot dem, så håll svaren i ett bibliotek snarare än i själva kalkylarket.
I Responsemate
CAIQ kommer som ett kalkylark precis som andra frågeformulär. Varje rad skrivs som utkast utifrån din kunskapsbas med källorna synliga, hostingleverantörens CAIQ och certifikat ligger där som underlag med sina utgångsdatum, och svaren exporteras till kundens egen fil. Kunskap i Responsemate.
Vanliga frågor
Vad är skillnaden mellan CCM och CAIQ?
Cloud Controls Matrix är listan över kontroller. CAIQ är frågeformuläret som bygger på den, med en eller flera frågor per kontroll. Genom att besvara CAIQ anger en leverantör vilka CCM-kontroller den har.
Bör vi publicera vår CAIQ?
Om kunder ofta frågar efter det, ja. En självbedömning i CSA STAR Registry är kostnadsfri, offentlig och godtas av många kunder i stället för deras eget frågeformulär. Håll den aktuell, eftersom granskare tittar på datumet.
Hur besvarar vi CAIQ-rader som vår hostingleverantör täcker?
Markera kontrollen som delad eller leverantörsägd, hänvisa till leverantörens egen publicerade CAIQ eller certifiering, och beskriv i en mening vad du gör utöver det, till exempel hur du konfigurerar deras tjänster.