O Cloud Computing Compliance Controls Catalog (C5) foi criado pelo Escritório Federal Alemão de Segurança da Informação (Bundesamt für Sicherheit in der Informationstechnik, ou BSI) para fornecer uma estrutura para avaliar a segurança cibernética de um provedor de serviços em nuvem e garantir que os controles estejam vigentes no caso de um ataque cibernético.
O C5 descreve os requisitos que os provedores de serviços em nuvem devem atender para fornecer um nível mínimo de segurança para seus serviços. A norma combina os padrões de segurança atuais, como ISO 27001, SOC 2 e os catálogos IT-Grundschutz do BSI, com requisitos adicionais específicos do C5 para aumentar a transparência no processamento de dados.
A conformidade com C5 é obrigatória para os serviços de nuvem utilizados pelo governo alemão e organizações que trabalham com o setor público da Alemanha. As avaliações C5 são realizadas de acordo com a International Standard on Assurance Engagements (ISAE) 3000 (revisada), Trabalhos de Asseguração Diferentes de Auditorias ou Revisões de Informações Financeiras Históricas.
Relatórios e outras documentações
Os relatórios C5 dos serviços indicados na seção "serviços no escopo" estão protegidos e disponíveis mediante solicitação. Para solicitar os relatórios de infraestrutura do IBM Cloud, IBM Cloud VPC e/ou IBM Cloud PaaS/Cloudant C5:
Os clientes atuais e em potencial da IBM podem usar os relatórios C5:2020 como verificação da conformidade com a segurança da nuvem e como parte de sua avaliação para usar o IBM Cloud.
Os relatórios C5 são de especial interesse para os clientes da IBM que têm escritórios na União Europeia (UE, ou outros clientes globais que buscam um framework abrangente de controle de computação em nuvem.
Serviços da IBM que implementaram controles conforme o framework C5 e passaram por avaliação de um auditor independente podem receber os relatórios C5, comprovando sua conformidade com o C5.
Os serviços listados abaixo têm um relatório C5 disponível, representando um período de tempo durante o qual os controles foram avaliados.
As descrições de serviço (SD) da IBM indicam se uma determinada oferta mantém o status de conformidade C5. Os serviços abaixo emitem relatórios C5 pelo menos uma vez por ano.