Questa domanda si basa sull'opinione pubblica, ma cercherò di fornire alcuni suggerimenti basati sulla mia esperienza (che è distorta nei confronti del PCI ma tocca gli altri). Non è specifico per il cloud ma credo che ci sia un'equivalenza.
Alcune regole pratiche:
- Gli attestati / i riepiloghi sono distribuiti, i rapporti generalmente non sono
- Le politiche sono più probabilmente condivise di quelle distribuite
- I controlli formali sono spesso soggetti a limiti di distribuzione
Altre informazioni su questi ROT:
Gli audit e le scansioni si presentano spesso su più livelli. Ad esempio, un audit PCI comporterà un ROC (Report On Compliance) e un AOC (Attestation Of Compliance). Il primo è un rapporto completo e il secondo è un breve riassunto. Il COA è per la distribuzione e il ROC no. E - nel caso del PCI - il COA non è considerato pienamente autorevole; la scheda dei fornitori di servizi sul sito dei marchi delle carte è ciò a cui i clienti sono indirizzati per una fonte autorevole (la conformità può essere invalidata all'interno di una riporta un intervallo di tempo valido ...)
Lo stesso vale generalmente per le scansioni. Risultati di scansione dettagliati, che elencano elementi non desiderabili anche se non completamente non conformi, non vengono quasi mai distribuiti. I rapporti di livello superiore che elencano se gli elementi esistessero o meno sono praticamente in tutto.
Quando si tratta di politiche, queste sono generalmente distribuite solo a malincuore. Una pratica comune è quella di consentire ai partner di venire sul posto per visualizzare le politiche piuttosto che distribuirle. Ciò garantisce la sicurezza delle politiche dalla distribuzione e scoraggia in modo discreto i partner dall'avere il problema di venire a prenderli.
Questo è molto unilaterale, comunque. Ho lavorato per una grande banca che ha richiesto copie delle politiche di sicurezza per la società che voleva integrare qualsiasi cosa con loro. Sono in grado di richiederlo, e lo fanno. Il cliente di una banca o di un fornitore di servizi, tuttavia, non ha la leva necessaria per richiedere lo stesso. Inoltre, quello che ho detto sul ROC e AOC - il ROC deve essere consegnato la scala per le marche di carte; ecco a cosa serve Ma non è mai condiviso al ribasso.
Infine, tieni presente che potrebbero essere applicati dei limiti. Se hai un contratto, allora potrebbe includere obblighi contrattuali. I clienti di grandi dimensioni spesso richiedono clausole che consentano loro di accedere a cose o persino di controllare periodicamente il fornitore di servizi. Alcuni revisori pongono limiti di distribuzione sulla loro relazione di audit completa e, nel caso di report SOCA SSAE16 , la distribuzione non è consentita per impostazione predefinita.