Certificación CSA STAR
CSA STAR es el programa de garantía de la Cloud Security Alliance para proveedores de servicios en la nube, basado en la Matriz de Controles en la Nube —un conjunto detallado de controles de seguridad específicos para la nube— con múltiples niveles de garantía: una autoevaluación publicada en el Registro STAR, una certificación por parte de terceros (Certificación STAR, que se suma a la norma ISO 27001) y un nivel de supervisión continua para aquellas organizaciones que deseen demostrar una garantía permanente, y no puntual.
Lo que hace que STAR resulte útil, en comparación con otros marcos, es que se ha diseñado específicamente para la prestación de servicios en la nube, en lugar de ser una norma de seguridad general adaptada a posteriori. La Matriz de Controles en la Nube se corresponde claramente con otros marcos sobre los que sus clientes también podrían preguntarle —ISO 27001, SOC 2, RGPD—, lo que significa que gran parte de la evidencia subyacente puede reutilizarse, en lugar de tener que elaborarse por separado para cada uno de ellos.
Elegir el nivel adecuado
Muchas organizaciones optan por defecto por la autoevaluación porque es gratuita y rápida, lo cual constituye un punto de partida razonable, pero tiene menos peso ante los clientes que necesitan una verificación independiente. Si recibe habitualmente cuestionarios detallados sobre seguridad de clientes empresariales, el nivel certificado suele merecer la inversión, ya que responde por usted a la mayoría de esos cuestionarios de una sola vez.
Cómo abordaría esto con usted
Yo empezaría por hacer un inventario de lo que ya tiene —especialmente si ya cuenta con la certificación ISO 27001, ya que la certificación STAR se basa directamente en ella— comparándolo con la Matriz de Controles en la Nube, para luego subsanar las deficiencias específicas de la nube que aún persistan. Si parte de cero, a menudo tiene sentido obtener las certificaciones ISO 27001 y STAR al mismo tiempo, en lugar de hacerlo de forma secuencial.
Si está tratando de determinar qué nivel STAR se ajusta realmente a lo que sus clientes solicitan, analicémoslo juntos.