Guide de préparation BSI C5
Cette page aide les fournisseurs et clients de cloud à s'auto-évaluer selon les critères BSI C5 (Cloud Computing Compliance Controls Catalogue).
Périmètre du référentiel
Pertinente pour les organisations allemandes qui exploitent ou achètent des services cloud avec des données sensibles, notamment dans le cadre de KRITIS, BSI IT-Grundschutz et du traitement de données.
C5 regroupe les exigences en domaines tels que la gestion de la sécurité de l'information, les opérations, la protection des données, la gestion des identités, la journalisation, le réseau et la gestion des fournisseurs. Il constitue la base de l'attestation BSI C5 selon CC5/CC6.
Score indicatif
0 / 100 points
Exemples de preuves
- Concept de sécurité et documentation ISMS
- Évaluation des risques avec plan de mesures
- Concept d'accès et permissions avec preuves de revue
- Exports de configuration MFA ou captures d'écran
- Architecture de journalisation et registres d'analyse
- Schémas réseau et preuves de durcissement
- Contrats et questionnaires de sécurité pour les sous-traitants
Lacunes fréquentes
- Les critères C5 ne sont pas entièrement mappés sur l'architecture cloud
- Révisions régulières des accès et permissions manquantes
- La journalisation est incomplète ou non analysée
- Les sous-traitants ne sont pas couverts contractuellement
- Les plans de continuité existent mais ne sont pas démontrablement testés
Workflow CloudForge
CloudForge propose les critères C5 comme contrôles actionnables, collecte les preuves par domaine, mène des évaluations de préparation internes et prépare les preuves d'audit pour l'attestation BSI C5.
Références officielles
- BSI-CS 132: C5:2020 Cloud Computing Compliance Controls Catalogue
- Attestation et critères d'audit BSI C5 pour les services cloud (CC5/CC6)
Les évaluations doivent être validées avec les responsables, le périmètre et des preuves fiables. Cette page ne constitue ni une attestation BSI C5 ni une certification.
Ce guide est destiné à l'orientation et à la préparation. Il ne remplace pas une attestation BSI C5 formelle et n'entraîne pas automatiquement une certification ou une confirmation par le BSI.