□ 평가체계
○ 평가대상
- 민간 클라우드 서비스
○ 관련 수행 기관
- 운영·인증기관(CSA, Cloud Security Alliance, 클라우드 보안협회): 별도의 정책기관 없이, 민간기관인 클라우드보안협회(CSA) 주도로 운영되며, CCM 제작 등 CSA STAR 운영 전반을 담당
- 평가·인증기관(지정된 민간 표준 평가기관): 평가 수행 후 CSA와 공동으로 인증서 발행
- 신청기관(CSP, Cloud Service Provider, 클라우드 서비스 제공업체): CSA STAR 인증 신청
○ CSA STAR 평가절차
- (1단계: 자체평가) 첫 번째 단계는 자체 평가로 클라우드 사용자가 클라우드 서비스 제공자에게 질의할 수 있는 질문집의 형태인CAIQ(Consensus Assessments Initiative Questionnaire)와 CCM(Cloud Control Matrix)를 이용하여 진단. 클라우드 서비스 제공자는 CAIQ 또는 CCM에 맞는 보고서를 제출하고, 결과를 공개하여 사용자들이 볼 수 있도록 함
* CCM(Cloud Control Matrix)에서는 PCI DSS v3.0 및 FedRAMP, ENISA 등 관련 있는 인증체계의 보안통제 항목을 비교하여 명시함
- (2단계: 3자 평가) 2단계는 3자 평가로 STAR 증명(STAR Attestation), STAR 인증(STAR Certification), C-STAR 평가(C-STAR Assessment)로 나뉘어짐
• (STAR 증명) 미국공인회계사협회(AICPA) SOC 2를 기반으로 조직에서의 통제가 적절히 이루어지는지 평가함
• (STAR 인증) CCM과 ISO 27001의 요구사항을 통합하여 조직의 시스템 성숙도를 평가하여 점수를 부여함
• (C-STAR 평가) 중국시장 진출을 위한 별도 평가로 클라우드보안협회(CSA) 기준(CCM)과 중국 표준(GB/T 22080-2008, GB/T 22239-2008, GB/Z 28828-2012)의 요구사항을 융합하여 평가
- (3단계: 지속적 모니터링) 세 번째 단계는 모니터링 기반 인증으로 현재 클라우드 서비스 제공자가 수행하는 보안 행위를 지속적이고 자동화된 증적 수집을 통해 소비자의 요구사항들을 충족하는지 확인 (현재 개발 중)