Cloud Computing Compliance Controls Catalog(C5)

FAQ

• C5란 무엇인가요?

  C5(Cloud Computing Compliance Controls Catalogue)는 독일의 '클라우드 컴퓨팅 IT 보안' 표준입니다. BSI가 설계하여 2016년 2월에 발표한 C5 제어 세트는 독일에 있는 고객이 복잡하고 규제를 받는 워크로드를 AWS와 같은 클라우드 컴퓨팅 서비스 제공업체로 이전할 때 추가적인 보증을 제공합니다. C5는 다음과 같은 국제 표준을 포함합니다.

  • ISO/IEC 27001:2017(ISO - International Organization for Standardization)
  • CSA Cloud Controls Matrix 3.01(CSA - Cloud Security Alliance)
  • AICPA Trust Service Principles Criteria 2017(AICPA - American Institute of Certified Public Accountants)
  • Trusted Cloud Data Protection Profile(TCDP)  - 버전 1
  • ISO/IEC 27017:2015
  • ISO/IEC 27-18:2014
  • BSI IT-Grundschutz Kompendium – 2019 에디션
    

• C5 표준은 누가 만들었습니까?

  2016년에 독일의 국립 사이버보안 기관인 Bundesamt für Sicherheit in der Informationstechnik(BSI)에서 C5 표준을 개발했습니다. BSI는 모든 정부 시스템의 IT 보안 요구 사항을 정의하며 거의 모든 독일 기업이 BSI 표준에 맞춰 IT 보안 전략을 수립합니다. BSI는 2019년에 C5 카탈로그를 재작업하고 업데이트했습니다. 새 버전(C5:2020)은 2020년 1월에 완성되었습니다. 

• 이러한 표준은 고객에게 어떤 이점을 제공합니까?

  C5 보고서는 AWS의 유럽 고객에게 C5 기본 기준 및 추가 기준을 충족하는 설계의 적합성 및 AWS 제어의 운영 효과에 대한 독립 서드 파티 증명을 제공합니다. 구체적으로, C5 기준에 대해 평가된 클라우드 서비스를 볼 때 독일 고객이 사용되었습니다. C5는 클라우드 컴퓨팅의 모든 IT 보안 측면을 다루며 IT-Grundschutz에 상당하는 IT 보안 수준을 문서화한 프레임워크를 고객에게 제공합니다. 연방 정부 기관의 경우 C5 증명은 조달 프로세스에서 기본적인 요구 사항입니다.

  AWS의 C5에 대한 최신 정보는 해당 AWS 보안 블로그 C5 게시물에서 검토할 수 있습니다.
  

• C5의 범위에 속하는 AWS 리전은 어디입니까?

  C5의 범위에 속하는 AWS 리전에는 프랑크푸르트, 아일랜드, 런던, 파리, 밀라노, 스톡홀름, 싱가포르, 취리히, 스페인을 비롯해 독일, 아일랜드, 영국, 프랑스, 싱가포르, 스웨덴, 이탈리아, 스페인 및 스위스의 엣지 로케이션이 포함됩니다.

• 범위에 포함되는 서비스는 무엇입니까?

  C5 범위에 포함된 AWS 서비스 목록은 규정 준수 프로그램 제공 AWS 범위 내 서비스를 참조하세요. 이러한 서비스 사용에 대해 자세히 알아보려는 경우 또는 다른 서비스에 관심이 있는 경우, AWS에 문의하시기 바랍니다.
  

• C5와 IT-Grundschutz의 차이점은 무엇인가요?

  IT-Grundschutz는 기관의 정보에 대한 적절한 보호를 구성하고 유지 관리하기 위한 표준입니다. IT-Grundschutz Catalogues에서는 일반적인 비즈니스 프로세서, IT 시스템 및 애플리케이션에 대한 보호 조치를 설명하며, 엔터프라이즈의 자체 정보 보호를 다룹니다. C5에서는 클라우드 서비스 제공업체(CSP) 상품에 대한 지침을 제공합니다.

• AWS C5 보고서를 요청하려면 어떻게 해야 합니까?

  AWS C5 보고서는 AWS 규정 준수 보고서에 대한 온디맨드 액세스를 제공하는 셀프 서비스 포털인 AWS Artifact를 통해 고객에게 제공됩니다. AWS Management Console에서 AWS Artifact에 로그인하거나 AWS Artifact 시작하기를 통해 자세히 알아보세요.

• 이 표준이 국제적으로 어떤 영향을 미치나요?

  BSI는 ANSSI 및 예정된 SecNumCloud Label에 맞추어 이 표준을 조정했습니다. C5 표준은 ESCloud라는 공통의 레이블 하에 상호 인정 옵션을 제공한다는 명확한 목표를 가지고 프랑스의 SecNumCloud 표준에 영향을 주었고 또한 영향을 받았습니다. 또한 European Union Agency for Cybersecurity(ENISA)의 European Union Cybersecurity Certification Scheme for Cloud Services(EUCS)의 초안 버전에는 C5 보안 표준이 상당 부분 포함되어 있습니다.
  

• 인증과 증명의 차이는 무엇입니까?

  인증은 공인된 전문 회사에서 발부하며 주로 1년에서 3년간 유효합니다. 자격이 있는 담당자는 규정 준수 감사 또는 회계 감사 중에 증명을 받을 수 있습니다. 증명은 지속적 구현의 측면에 좀 더 초점이 맞춰져 있습니다. 즉, 재감사 주기가 최하 6개월로 훨씬 짧습니다. ISAE 3000 / 3402에 따르면 감사 프로세스에서는 지난 시간 범위 동안 적절성과 유효성의 증거를 제공합니다. 인증은 단지 특정 시점의 스냅샷입니다.