CSA Cloud Controls Matrix & CAIQ

Die CCM v4.1 gliedert Cloud-Sicherheit in 17 Domänen mit insgesamt 207 Control-Zielen — darunter Audit & Assurance, Application & Interface Security, Kryptographie und Schlüsselmanagement, Identity & Access Management, Logging & Monitoring sowie Supply Chain Management. Die Domänenstruktur orientiert sich bewusst an etablierten Frameworks wie ISO 27001:2022, um vorhandenes Wissen nutzbar zu machen. Je Control weist die Matrix zusätzlich die Anwendbarkeit auf die Servicemodelle IaaS, PaaS und SaaS aus.

Der Consensus Assessment Initiative Questionnaire (CAIQ) übersetzt die CCM-Controls in 283 Ja/Nein-Fragen, mit denen Cloud-Kunden und Auditoren die Sicherheitslage eines Cloud Service Providers systematisch prüfen können. Er dient als standardisiertes Instrument der Anbieterbewertung — vor der Beauftragung ebenso wie im laufenden Lieferantenmanagement. Die v4.1-Struktur enthält zudem eigene Spalten zur Dokumentation der Verantwortlichkeiten im Shared Security Responsibility Model.

Die CCM ordnet jedem Control eine Verantwortlichkeit im Shared Security Responsibility Model zu: CSP-Owned, CSC-Owned, Shared (Independent) oder Shared (Dependent). Damit beantwortet das Framework die zentrale Frage, wer in einem Cloud-Projekt wofür verantwortlich ist. Verantwortungsübergänge zwischen Anbieter und Kunde werden so pro Control transparent — und lassen sich vertraglich wie operativ sauber verankern.

Der CAIQ ist die Grundlage für STAR Level 1: Cloud-Anbieter reichen ihr ausgefülltes Security Questionnaire bei der öffentlichen CSA STAR Registry ein und schaffen damit Transparenz über ihre Kontrolllandschaft. STAR Continuous erweitert den Ansatz um kontinuierliche Prüfung — mit dem Ziel, Compliance-Aussagen auf monatlicher, täglicher oder sogar stündlicher Basis zu ermöglichen. Die CCM ist damit das Fundament, auf dem CSPs verglichen und bewertet werden.

Die CCM Implementation Guidelines (v2.1) geben je Control-Spezifikation Umsetzungsempfehlungen entlang der SSRM-Rollenverteilung — bewusst ohne starre How-to-Vorgaben, da die Umsetzung von Architektur, Technologie und Risikolage abhängt. Mappings verknüpfen die CCM mit ISO/IEC 27001/27002/27017/27018, AICPA TSC, CIS Controls, NIST CSF, NIST 800-53 und PCI DSS. So lassen sich Lücken und Überschneidungen zwischen Frameworks identifizieren und Doppelaufwände in der Compliance reduzieren.

Der Continuous Audit Metrics Catalog (v1.1) definiert 34 Cloud-Sicherheitsmetriken, die direkt an CCM-Controls anknüpfen und weitgehend automatisiert messbar sind — die Grundlage für Continuous Auditing statt jährlicher Stichtagsprüfungen. Die Terminologie folgt ISO/IEC 19086-1, dem Standardrahmen für Cloud-SLAs. Der begleitende Code of Practice beschreibt acht Anforderungen an tragfähige Key Metrics, von strategischer Ausrichtung über klare RACI-Verantwortung bis zur Manipulationssicherheit.