O Cloud Computing Compliance Controls Catalog (C5) é um credenciamento apoiado pelo governo alemão, introduzido na Alemanha pelo departamento federal de segurança das informações (BSI) para ajudar as organizações a demonstrar segurança operacional contra ataques cibernéticos comuns dentro do contexto do documento “Security Recommendations for Cloud Providers” do governo alemão.
O credenciamento C5 pode ser usado por clientes da AWS e seus consultores de conformidade para compreender a gama de serviços de garantia de segurança de TI oferecida pela AWS na movimentação de cargas de trabalho para a nuvem. O C5 adiciona um nível de segurança de TI definido normativamente, equivalente ao IT-Grundschutz com a adição de controles específicos para a nuvem.
O C5 acrescenta controles que fornecem informações sobre localização de dados, provisionamento de serviços, jurisdição, certificações existentes, obrigações de divulgação de informações e uma descrição completa dos serviços. Usando essas informações, os clientes podem avaliar como regulamentos legais (por exemplo, privacidade de dados), suas próprias políticas ou o ambiente de ameaças se relacionam ao uso de serviços de computação em nuvem.
Projetado e disponibilizado pelo BSI em fevereiro de 2016, o conjunto de controles C5 oferece a clientes na Alemanha garantia adicional para a movimentação de cargas de trabalho complexas e normatizadas para provedores de serviços de computação em nuvem, como a AWS.
Os padrões a seguir foram considerados pelo BSI:
• ISO/IEC 27001:2013 (ISO – International Organization for Standardization)
• CSA Cloud Controls Matrix 3.01 (CSA – Cloud Security Alliance)
• AICPA Trust Service Principles Criteria 2014 (AICPA – American Institute of Certified Public Accountants)
• ANSSI Référentiel Secure Cloud 2.0 (rascunho) (ANSSI – Agence nationale de la sécurité des systèmes d'information)
• IDW ERS FAIT 5 04.11.201 (rascunho de um parecer sobre contabilidade: “Grundsätze ordnungsmäßiger Buchführung bei Auslagerung von rechnungslegungsrelevanten Dienstleistungen einschließlich Cloud Computing” [Princípios contábeis geralmente aceitos para a terceirização de serviços relacionados à contabilidade, incluindo a computação em nuvem], versão de 4 de novembro de 2014)
• BSI IT-Grundschutz Catalogues, 14ª versão, 2014
• BSI SaaS Sicherheitsprofile 2014 [perfis de segurança de SaaS da BSI, 2014]
