Certification CSA STAR
CSA STAR est le programme d’assurance de la Cloud Security Alliance destiné aux fournisseurs de services cloud, articulé autour de la « Cloud Controls Matrix » — un ensemble détaillé de contrôles de sécurité spécifiques au cloud — et proposant plusieurs niveaux d’assurance : une auto-évaluation publiée dans le registre STAR, une certification par un organisme tiers (la certification STAR, qui s’ajoute à la norme ISO 27001) et un niveau de surveillance continue destiné aux organisations souhaitant démontrer une assurance continue, et non ponctuelle.
Ce qui rend STAR utile, par rapport à certains cadres de référence, c’est qu’il est spécifiquement conçu pour la fourniture de services cloud, plutôt que d’être une norme de sécurité générale adaptée a posteriori. La matrice des contrôles du cloud s’aligne parfaitement sur d’autres référentiels dont vos clients pourraient également vous interroger — ISO 27001, SOC 2, RGPD —, ce qui signifie qu’une grande partie des preuves sous-jacentes peut être réutilisée plutôt que de devoir être reconstituée séparément pour chacun d’entre eux.
Choisir le bon niveau
De nombreuses organisations optent par défaut pour l’auto-évaluation, car elle est gratuite et rapide, ce qui constitue un point de départ raisonnable, mais elle a moins de poids auprès des clients qui ont besoin d’une vérification indépendante. Si vous répondez régulièrement à des questionnaires de sécurité détaillés émanant de clients professionnels, le niveau certifié vaut généralement l’investissement, car il répond pour vous à la plupart de ces questionnaires, une fois pour toutes.
Voici comment j’aborderais cela avec vous
Je commencerais par recenser ce dont vous disposez déjà — en particulier si vous êtes déjà certifié ISO 27001, puisque la certification STAR s’appuie directement sur celle-ci — par rapport à la matrice des contrôles du cloud, puis je comblerais les lacunes spécifiques au cloud qui subsistent. Si vous partez de zéro, il est souvent judicieux de viser simultanément les certifications ISO 27001 et STAR plutôt que de les obtenir l’une après l’autre.
Si vous cherchez à déterminer quel niveau STAR correspond réellement aux attentes de vos clients, discutons-en ensemble.