CAIQ とは？

新世紀に入り、クラウドへの依存度が高まる中で、CSA は、この急成長する技術が何らかの規制なしに導入された場合、セキュリティに大きな欠陥が生じる可能性があることを認識しました。そこで CSA は、クラウドベースのサービス (IaaS、PaaS、SaaS) に対して一般的に受け入れられている業界標準とセキュリティ制御の文書を作成し、共有することにしたのです。CAIQ は、機密データの保護とリスク管理を行うためにクラウドベンダーが採用している手法、技術、ポリシーに関して不可欠な透明性を企業に提供します。

CAIQ は、基本的にアンケート調査です。バージョン 3.1 (最新版) は、クラウドプロバイダーに対する「はい」「いいえ」の 295 問の質問から構成されています。これらの質問は、制定された規制とベストプラクティスをプロバイダーがどの程度遵守しているかについてのインサイトを、クラウド利用者とクラウド監査人に提供するために作成されています。CAIQ-Lite と呼ばれる別のバージョンは、サイバーセキュリティの専門家やクラウド調達モデル向けに作られた 70 問程度の質問から成り、より簡単で、それほど詳細でない評価を提供するものです。

簡単に言えば、ベンダーのリスク管理チームは、標準化された質問票を使用することで、コストを削減しながら効率性を高めることができるのです。CAIQ は、クラウド導入企業が不必要なサイバーセキュリティリスクにさらされることを防ぐのに役立ちます。CAIQ はまた、クラウドプロバイダーにとっても不可欠なサービスを提供します。ベンダーは、CAIQ を使用して自社のセキュリティに関する情報を提供し、標準化された用語と概念を使用しながら、顧客に提供するサービスを効果的に紹介することができます。

サードパーティのクラウドベンダーとの協業には、常に何らかのリスクが伴います。重要なデータやプロセスを、企業組織の管理下にない外部のグループに任せることで、クラウド利用者は、適切なセキュリティの実装を直接確認することができなくなります。最も信頼できるクラウドプロバイダーであっても、ある領域では失敗する可能性があり、企業はそうした失敗が起こりやすい場所や、ベンダーのクラウドソリューションに固有の弱点が何かを把握する必要があります。

CAIQ は、クラウドプロバイダーのセキュリティを評価し、文書化するための一般的な業界標準を作成することを目的としています。これにより、企業はビジネス契約を結ぶ前に、クラウドプロバイダーとそのセキュリティ態勢を理解し、評価することができるようになります。

STAR (Security、Trust、Assurance、Risk) は、プライバシーのコントロールとセキュリティのクラウドコンピューティングプログラムを文書化した、一般的に利用できるレジストリです。CAIQ と CCM に示されている標準の監査、調和、透明性の原則を包含しています。

企業は、現在と将来的な顧客に、コンプライアンスとセキュリティに対する姿勢、また規制、標準、フレームワークへの準拠を示すことができます。これは最終的には、複雑さを軽減し、複数のアンケートに回答する必要性を緩和することにつながります。