Catálogo de Critérios de Conformidade de Computação em Nuvem (C5)

Visão geral do C5

Em 2016, o Serviço Federal Alemão para a Segurança da Informação (Bundesamt für Sicherheit in der Informationstechnik, ou BSI) criou o Cloud Computing Compliance Controls Catalog (C5). O BSI revisou a orientação como Catálogo de Critérios de Conformidade de Computação em Nuvem (C5:2020) em 2020. O C5 é um padrão auditado que estabelece uma linha de base mínima obrigatória para segurança na nuvem e a adoção de soluções de nuvem pública por órgãos governamentais alemães e organizações que trabalham com o governo. O setor privado também está adotando cada vez mais o C5.

O objetivo do catálogo de requisitos C5 é fornecer uma estrutura de segurança consistente para certificar provedores de serviços em nuvem e dar aos clientes a garantia de que seus dados são gerenciados com segurança.

O C5 se baseia nas normas de segurança de TI reconhecidas internacionalmente como ISO/IEC 27001:2013, o Cloud Security Alliance Cloud Controls Matrix 3.0.1 e os Catálogos IT-Grundschutz do BSI. O catálogo consiste em 114 requisitos em 17 domínios, por exemplo, a organização de segurança da informação e segurança física, com requisitos de segurança básicos para todos os provedores de serviços em nuvem e outros requisitos para processamento de dados altamente confidenciais e situações que exigem alta disponibilidade.

O BSI também enfatiza a transparência. Como parte de uma auditoria, o provedor de nuvem deve incluir uma descrição detalhada do sistema e divulgar parâmetros ambientais como local de processamento de dados e jurisdição, provisão de serviços e outras certificações emitidas para os serviços de nuvem, além de informações sobre as obrigações de divulgação do provedor de nuvem para autoridades públicas. Esse sistema ajuda potenciais clientes de nuvem a decidir se os serviços de nuvem atendem aos seus requisitos essenciais, como conformidade com requisitos legais, como proteção de dados, políticas da empresa ou a capacidade de lidar com a ameaça de espionagem industrial.

Microsoft e o C5

Os serviços de nuvem da Microsoft são auditados pelo menos anualmente seguindo as normas SOC 2 (AT Section 101). De acordo com o BSI, uma auditoria de C5 pode ser combinada com uma auditoria de SOC 2 para reutilizar partes da descrição do sistema e resultados da auditoria para controles sobrepostos. O Microsoft Azure, o Azure Governamental e o Azure Alemanha mantêm um relatório combinado (C5, SOC 2 Tipo 2, CSA STAR Attestation) com base na avaliação de auditoria realizada por um auditor independente, que demonstra prova de conformidade com o C5.

Plataformas e serviços de nuvem no escopo da Microsoft

Azure, Microsoft Dynamics 365 e C5

Para obter mais informações sobre a conformidade do Azure, Dynamics 365 e outros serviços online, consulte a oferta do C5:2020 da Alemanha.

Perguntas frequentes

Posso usar a conformidade da Microsoft com o C5 para ajudar minha organização a obter seu próprio atestado de C5?

Sim. Você pode usar o atestado de serviços em nuvem da Microsoft como base para qualquer programa ou iniciativa que exija C5. No entanto, você precisa obter seu próprio atestado C5 para componentes externos ou criados a partir desses serviços.

Qual é a diferença entre os Catálogos IT-Grundschutz e o C5?

O IT-Grundschutz fornece a metodologia específica para ajudar as organizações a identificar e implementar medidas de segurança para sistemas de TI e é um dos elementos sobre os quais as normas do C5 são criadas. O C5 fornece um conjunto de normas de auditoria para provedores de serviços de nuvem, mas deixa os detalhes da implementação para o provedor de serviços de nuvem.

O que é o Microsoft Cloud Alemanha?

O Microsoft Cloud Alemanha está fisicamente sediado na Alemanha, cumprindo os requisitos da lei de privacidade alemã, que limita a transferência de dados pessoais para outras nações e oferece proteção contra o acesso de autoridades de outras jurisdições que possam violar as leis domésticas. O Azure Alemanha fornece serviços do Azure de datacenters alemães com residência de dados na Alemanha, além de fornecer medidas rigorosas de acesso e controle de dados fornecidas por meio de um modelo administrador de dados exclusivo regido pelas leis alemãs.

Use o Gerenciador de Conformidade do Microsoft Purview para avaliar seu risco

O Gerenciador de Conformidade do Microsoft Purview é um recurso no portal do Microsoft Purview para ajudá-lo a entender a postura de conformidade da sua organização e tomar medidas para ajudar a reduzir os riscos. O Gerenciador de Conformidade oferece um modelo premium para criar uma avaliação para essa regulamentação. Encontre o modelo na página modelos de avaliação no Gerenciador de Conformidade. Saiba como criar avaliações no Compliance Manager.

Recursos

  • Last updated on