CSA STAR og cloudkunders krav

En kunde, der spørger, om I står i CSA STAR, spørger i virkeligheden, om I har offentliggjort jeres svar om cloudsikkerhed et sted, hvor alle kan læse dem, og om en tredjepart har kontrolleret dem. Det er to forskellige spørgsmål, og CSA STAR har et niveau til hvert. Svaret hviler på, hvad Cloud Security Alliance selv beskriver i programmet, og på, hvad I allerede har af dokumentation. En penetrationstest er ikke en del af programmet som sådan, men den kan være det, der gør jeres svar troværdige.

Hvad programmet er

Cloud Security Alliance, en organisation for sikkerhed i cloud, kalder STAR sit program for sikkerhedsgaranti for cloudtjenester og nu også for AI. Udbydere bruger det til at vise kunderne, hvordan de arbejder med sikkerhed, og kunderne bruger det til at vurdere udbydere.

Programmet bygger på to dokumenter fra samme organisation: Cloud Controls Matrix, en ramme af kontroller for cloud, og CAIQ, et spørgeskema, hvor udbyderen svarer på, hvordan tjenesten opfylder hver kontrol. Skemaerne og deres brug i salget er beskrevet for sig. → Standardiserede spørgeskemaer

To niveauer

CSA beskriver to niveauer. På niveau 1 er der tale om en selvvurdering: udbyderen indsender et besvaret CAIQ, som viser, hvordan tjenesten opfylder kontrollerne i CCM. Ingen andre har kontrolleret svarene. Det er ikke en svaghed i sig selv, men kunden skal kunne se, at det er jeres egne oplysninger, og hvornår de sidst er gennemgået.

På niveau 2 kræves en uafhængig kontrol ved en tredjepart. CSA nævner som veje til niveau 2 en certificering efter ISO/IEC 27001 eller en SOC 2-erklæring, i begge tilfælde sammen med et besvaret CAIQ, og en særlig ordning for det kinesiske marked. Niveau 2 forudsætter altså, at I allerede har eller får en af de ordninger, som andre artikler her handler om. → ISO 27001 i softwarehuset

CSA har desuden udvidet programmet til AI med samme opbygning i to niveauer. Det bygger på en særskilt kontrolramme for AI og et tilhørende spørgeskema. Har jeres produkt AI-funktioner, kan en cloudkunde derfor også spørge til dem i STAR-sammenhæng. Svarene skal hvile på det samme som de øvrige: hvad I faktisk gør, og hvad en test eller kontrol har vist. → AI-funktioner i produktet

Registret er offentligt

STAR Registry er ifølge CSA et offentligt register over organisationer, der har dokumenteret sikkerhed i cloud og AI. Hver registrering viser udbyderens niveau og de dokumenter, udbyderen har indsendt. Kunder kan søge i registret og sammenligne udbydere.

For et softwarehus er det den vigtigste forskel fra et skema, der sendes til én kunde. Et besvaret CAIQ i registret kan læses af alle, også af konkurrenter og af kunder, I aldrig har talt med. Svarene skal derfor være præcise, daterede og formuleret, så de ikke afslører mere om produktet, end I er trygge ved. Og de skal holdes opdaterede, så registreringen ikke siger noget, der var sandt for to år siden. → Tillidsside: hvad I viser offentligt

Hvor pentesten kommer ind

Skriver I i jeres CAIQ, at produktet afprøves regelmæssigt, og at sårbarheder håndteres efter faste regler, skal der ligge rapporter, der viser det. Er I på niveau 2, kan den revisor eller certificeringsorganisation, der kontrollerer jer, også bede om dokumentation for testen og for opfølgningen på fundene.

Pentesten bliver dermed den dokumentation, der står bag et offentligt svar. Det giver to praktiske krav til den: rytmen skal svare til det, I har skrevet i skemaet, og rapporten skal kunne vise dato, omfang og status på fund, hvis nogen beder om den. Selve rapporten hører ikke hjemme i registret, men en kundeversion kan udleveres efter aftale. Planlæg derfor testen, så den ligger før en opdatering af registreringen. Så kan de offentlige svar henvise til en test, der er gennemført, og ikke til en, der er planlagt. → Kundeversionen af rapporten

Skal I registrere jer?

Registreringen er et valg, ikke et krav, medmindre en kunde eller en kontrakt gør den til det. Overvej tre spørgsmål. Spørger jeres kunder efter STAR, eller nævner de det kun i en skabelon? Har I allerede et besvaret CAIQ, der kan bruges? Og har I kapacitet til at holde det opdateret?

Spørger kunderne jævnligt, kan en registrering på niveau 1 spare tid, fordi kunden kan læse svarene, før de spørger. Har I allerede ISO 27001 eller SOC 2, kan niveau 2 være et naturligt næste skridt. Har I ingen af delene, er det mere ærligt at sende et besvaret CAIQ direkte til den kunde, der spørger, end at registrere svar, I ikke kan holde ved lige. Vælger I at registrere jer, så sørg for, at de skemaer, I sender til enkelte kunder, siger det samme som registret. En kunde, der sammenligner de to og finder forskelle, får et spørgsmål mere end nødvendigt. → Sikkerhedspakken til kundernes indkøb

Et tænkt eksempel

Et softwarehus leverer et system til kontraktstyring. En international kunde spørger, om softwarehuset står i STAR Registry. Softwarehuset har besvaret CAIQ til to kunder det seneste år og har en ISO 27001-certificering.

Softwarehuset gennemgår CAIQ-svarene, retter tre svar om testrytme, så de passer til den faktiske årlige test, og fjerner detaljer om arkitekturen, der ikke hører hjemme i et offentligt dokument. Det beslutter at registrere sig på niveau 1 nu og at undersøge niveau 2 med certificeringsorganisationen. Kunden får et link til registreringen og en kundeversion af den seneste pentestrapport.

Det skal I lade være med

Kalde en selvvurdering for en certificering · niveau 1 er jeres egne svar.
Registrere svar, I ikke kan dokumentere · registret er offentligt.
Lade registreringen ligge uændret · gamle svar bliver forkerte svar.
Lægge tekniske detaljer i et offentligt CAIQ · skriv præcist, men ikke mere end nødvendigt.
Love niveau 2 uden ISO 27001 eller SOC 2 · CSA nævner dem som vejen dertil.

Hvad kan og ikke kan konkluderes

En registrering i STAR viser, hvad I har oplyst om jeres sikkerhed, og på niveau 2, at en tredjepart har kontrolleret jer efter en af de ordninger, CSA anerkender. Den siger ikke, at produktet er uden svagheder, og den erstatter ikke en penetrationstest. En pentest kan omvendt vise, hvad en tester fandt, men gør jer ikke registreret eller certificeret.

Tjekliste før en STAR-registrering

☐ Spørger kunderne efter STAR, eller står det kun i en skabelon?
☐ Har I et besvaret CAIQ, der passer til den nuværende praksis?
☐ Svarer testrytmen i skemaet til jeres faktiske test?
☐ Er svarene skrevet til et offentligt publikum?
☐ Er der en ansvarlig for at holde registreringen opdateret?
☐ Ved I, hvad niveau 2 kræver, før I nævner det over for kunder?

Kilder

Cloud Security Alliance: STAR: programmet for sikkerhedsgaranti for cloud og AI, også STAR for AI med egen kontrolramme og spørgeskema; niveau 1 med selvvurdering via CAIQ; niveau 2 med tredjepartskontrol via ISO/IEC 27001-certificering eller SOC 2-erklæring sammen med CAIQ; det offentlige STAR Registry.
Cloud Security Alliance: Cloud Controls Matrix: CCM som kontrolramme for cloud og CAIQ som spørgeskema bygget ind i CCM.

Senest gennemgået: oktober 2026.