説明
CSA STARプログラムのオープン認証フレームワーク（OCF）の主な目的は、クラウドサービスプロバイダーに対し、グローバルで認定された、信頼できる認証を提供することです。CSAのウェブサイト1によると、OCFはクラウドプロバイダーのグローバルで信頼できる独立した評価を可能にする業界主導の取り組みです。これは、クラウドセキュリティアライアンスの業界をリードするセキュリティガイダンスとコントロールフレームワークに基づき、柔軟で段階的かつ多層的なクラウドプロバイダーの認証および／または証明のためのプログラムです。OCFは、安全で信頼性の高いクラウドサービスの市場導入を阻害しているITエコシステム内のギャップに対処することを目的としています。また、OCFは、公認会計士コミュニティで開発された一般的な第三者による評価および証明ステートメントと統合することで、労力とコストの重複を回避します。OCFは、クラウドサービスプロバイダーがクラウド固有のセキュリティコントロールを組み込むことを可能にする保証フレームワークであるCSA STAR認証プログラムを運用および監視する基盤を管理しています。STAR認証プログラムには、それぞれ異なる種類の監査または評価に基づく3つの保証レベルがあります。レベル1：自己評価、レベル2：
レベル3：継続的監査、サードパーティ監査。OCFは、様々なクラウドコンピューティングサービスが提供するセキュリティ管理策を文書化した、公開リポジトリであるCSA STARレジストリも監督しています2。OCFは、消費者がプロバイダーのレジリエンス、データ保護、プライバシー機能、サービスポータビリティを評価・比較するのに役立ちます。また、プロバイダーが業界標準やベストプラクティスへの準拠を証明するのにも役立ちます。
参考文献:
オープン認証フレームワークワーキンググループ | CSA
スター | CSA

説明
パスワードポリシーの有効性を測定する最も適切な目標は、新しく作成されたアカウント認証情報が要件を満たしているかどうかです。これは、パスワードポリシーが、システムまたはネットワークにおけるパスワードの特性と使用方法を定義する一連のルールとガイドラインであるためです。パスワードポリシーは、不正アクセス、データ侵害、および個人情報の盗難を防止することで、システムまたはネットワークのセキュリティと機密性を強化することを目的としています。したがって、パスワードポリシーの有効性を評価する最良の方法は、新しく作成されたアカウント認証情報が、長さ、複雑さ、有効期限、履歴などのポリシーの要件を満たしているかどうかを確認することです。この目標は、アカウント作成プロセスの定期的な監査、レビュー、またはテストを実施し、パスワードがポリシー標準に準拠していることを確認することで測定できます。これは、クラウドコントロールマトリックス（CCM）のドメイン「IAM-02：ユーザーID認証情報」の一部であり、「組織は、クラウドサービスおよびデータのユーザーID認証情報を管理するためのポリシーと手順を備えるべきである」と規定されています。1 参考文献：CCAK学習ガイド、第4章「CCMを用いたクラウドの脅威分析方法論」、76ページ

説明
監査人が次に行うべきことは、クラウドサービスプロバイダの契約とDR能力を確認することです。契約には、災害復旧に関する両当事者の役割と責任、そして重要なアプリケーションのサービスレベル契約（SLA）と目標復旧時間（RTO）が明記されている必要があります。DR能力は、クラウドサービスプロバイダが組織の要件と期待に沿った計画を策定し、毎年テストと独立監査人による検証を受けていることを示すものでなければなりません。また、監査人は、組織がクラウドサービスプロバイダのパフォーマンスと契約およびSLAの遵守状況を監視および確認するプロセスを備えていることも確認する必要があります。
監査人がプロバイダーの環境やデータにアクセスできない場合や、そのような監査を実施する権限や専門知識がない場合、プロバイダー（B）の監査を計画することは現実的ではない、あるいは必要ではない可能性があります。監査人は、プロバイダーの監査報告書と認証書に基づいて、関連する基準や規制への準拠状況を評価するべきです。
プロバイダーのセキュリティホワイトペーパーを確認するだけでは不十分、あるいは適切ではない場合があります。セキュリティホワイトペーパーは、重要なアプリケーションの災害復旧に関する具体的な側面を網羅していない場合や、プロバイダーのセキュリティ管理やセキュリティ対策の現状を反映していない場合があるからです。また、セキュリティホワイトペーパーはプロバイダー自身が作成しているため、偏った情報や古い情報が含まれている可能性もあります。
プロバイダーの監査報告書（D）を確認することは有益ではありますが、十分ではありません。監査報告書は、組織の災害復旧に関する具体的な要件や期待に対応していない場合や、プロバイダーの災害復旧能力に影響を与える可能性のある最新の変更やインシデントを網羅していない場合があるためです。また、監査報告書には、信頼性や妥当性に影響を与える可能性のある制限事項や制約事項が含まれている場合もあります。参考資料：災害復旧計画の監査 | AlertFind ISACA、事業継続性/災害復旧のための新たな監査プログラムを導入 ...
事業継続性と災害復旧計画の維持とテスト方法