Catalogo criteri di conformità cloud computing (C5)

Panoramica sul C5

Nel 2016, l'Ufficio federale tedesco per la sicurezza informatica (Bundesamt für Sicherheit in der Informationstechnik, BSI) ha pubblicato il Cloud Computing Compliance Controls Catalog (C5). Nel 2020 il BSI ha rivisto la guida come Cloud Computing Compliance Criteria Catalog (C5:2020). C5 è uno standard verificato che stabilisce misure minime di sicurezza obbligatorie nel cloud e l'adozione di soluzioni cloud pubbliche da parte delle agenzie governative e organizzazioni tedesche che lavorano con gli enti pubblici. Anche il settore privato sta adottando sempre più C5.

Lo scopo del catalogo dei requisiti C5 è fornire un framework di sicurezza coerente per la certificazione dei provider di servizi cloud e garantire ai clienti che i loro dati siano gestiti in modo sicuro.

Il C5 si basa su standard di sicurezza IT riconosciuti a livello internazionale, come ISO/IEC 27001:2013, il Cloud Security Alliance Cloud Controls Matrix 3.0.1 e i cataloghi IT-Grundschutz di BSI. Il catalogo è costituito da 114 requisiti in 17 domini, ad esempio l'organizzazione della sicurezza delle informazioni e di quella fisica, con requisiti di sicurezza di base per i provider di servizi cloud, nonché altri requisiti per l'elaborazione dei dati estremamente riservati e per situazioni che richiedono una disponibilità elevata.

Il BSI sottolinea anche la trasparenza. Nell'ambito di un controllo, il provider di servizi cloud deve fornire una descrizione dettagliata del sistema e dei parametri ambientali come giurisdizione e luogo del trattamento dei dati, fornitura di servizi e altre certificazioni per i servizi cloud, nonché informazioni sugli obblighi di divulgazione del provider nei confronti delle autorità pubbliche. Questo sistema aiuta i potenziali clienti cloud a decidere se i servizi cloud soddisfano i loro requisiti essenziali, come la conformità ai requisiti legali come la protezione dei dati, le politiche aziendali o la capacità di affrontare la minaccia dello spionaggio industriale.

Microsoft e C5

I servizi cloud Microsoft vengono controllati almeno una volta l'anno rispetto agli standard SOC 2 (Sezione AT 101). Secondo BSI, un controllo C5 può essere associato a un controllo SOC 2 per poter riutilizzare parti della descrizione del sistema e i risultati del controllo, in caso di controlli sovrapposti. Microsoft Azure, Azure per enti pubblici e Azure Germania gestiscono un report combinato (C5, SOC 2 tipo 2, attestazione CSA STAR) basato sul controllo eseguito da un revisore indipendente, che dimostra la conformità al C5.

Piattaforme e servizi cloud nell'ambito Microsoft

Azure, Microsoft Dynamics 365 e C5

Per altre informazioni sulla conformità di Azure, Dynamics 365 e altri servizi online, vedere l'offerta C5:2020 per la Germania.

Domande frequenti

Posso usare la conformità Microsoft con il C5 per aiutare l'organizzazione a ottenere l'attestazione C5?

Sì. È possibile usare l'attestazione dei servizi cloud Microsoft come base per qualsiasi programma o iniziativa che richieda C5. Tuttavia, è necessario ottenere la propria attestazione C5 per i componenti esterni o incorporati in questi servizi.

Qual è la differenza tra il C5 e i cataloghi IT-Grundschutz?

IT-Grundschutz fornisce una metodologia specifica che consente alle organizzazioni di identificare e implementare le misure di sicurezza per i sistemi IT ed è uno degli elementi fondamentali degli standard C5. C5 fornisce un insieme di standard di controllo per i provider di servizi cloud, ma lascia i dettagli dell'implementazione ai provider stessi.

Cos'è Microsoft Cloud per la Germania?

Microsoft Cloud Germania ha sede fisica in Germania, aderendo ai requisiti della legge tedesca sulla privacy, che limita il trasferimento dei dati personali ad altre nazioni e offre protezione contro l'accesso da parte di autorità di altre giurisdizioni che potrebbero violare le leggi nazionali. Azure Germania fornisce i propri servizi da data center tedeschi con residenza dei dati in Germania, offrendo rigorose misure di accesso e controllo delle informazioni tramite un modello di trustee univoco disciplinato dalla legislazione tedesca.

Usare Microsoft Purview Compliance Manager per valutare il rischio

Microsoft Purview Compliance Manager è una funzionalità del portale Microsoft Purview che consente di comprendere il comportamento di conformità dell'organizzazione e di intraprendere azioni per ridurre i rischi. Compliance Manager offre un modello premium per creare una valutazione per questa normativa. Individuare il modello nella pagina modelli di valutazioni in Compliance Manager. Informazioni su come creare valutazioni in Compliance Manager.

Risorse

  • Ultimo aggiornamento: