クラウドプロバイダーのサービスの継続的な評価をクラウドセキュリティアライアンス（CSA）に報告する最良の方法は、専用のアプリケーションプログラミングインターフェース（API）のセットを使用することです。CSAのウェブサイト1によると、STAR Continuousプログラムは、クラウドサービスプロバイダーがセキュリティ体制を継続的に検証できるようにするSTAR認証のコンポーネントです。STAR Continuousプログラムは、セキュリティ情報およびイベント管理（SIEM）、ガバナンス、リスク管理、コンプライアンス（GRC）、継続的な監視システムなど、クラウドプロバイダーの既存のツールやプロセスと統合できるAPIセットを活用します。APIを使用すると、クラウドプロバイダーはセキュリティ関連データをほぼリアルタイムで収集、分析し、CSA STARレジストリに報告できます。また、CSAはAPIを使用してデータを検証し、クラウドプロバイダーと顧客にフィードバックを提供できます。STAR Continuousプログラムは、クラウドサービスのセキュリティパフォーマンスを継続的に可視化することで、クラウドエコシステムの透明性、保証、信頼性を高めることを目的としています。
挙げられているその他の方法は、クラウドプロバイダーのサービスの継続的な評価をCSAに報告するのに適していません。定期的に第三者監査人が実施するクラウド・コントロール・マトリックス（CCM）評価は、STAR認証レベル2プログラムの一部であり、クラウドプロバイダーのセキュリティ管理策の特定時点の検証を提供します。ただし、この方法は12か月または24か月に1回しか実施されないため、継続的な評価や報告は提供されません2。第三者監査人が選択するツールは、監査の範囲、基準、方法論によって異なる場合があり、CSAの標準およびフレームワークと互換性または一貫性がない可能性があります。さらに、ツールは監査結果をCSA STARレジストリに自動的または頻繁に報告できない可能性があります。SOC 2タイプ2認証は、米国公認会計士協会（AICPA）のTrust Services Criteriaに基づいてクラウドプロバイダーのセキュリティ管理策を評価する独立した監査レポートです。ただし、このレポートはクラウドコンピューティングに特化したものではなく、CCMのすべての側面を網羅しているわけではありません。さらに、このレポートは公開されることや、CSA STAR レジストリ3 に報告されることを意図したものではありません。
参考文献:
* STAR 連続 | CSA
* STAR認証 | CSA
* SOC 2 と CSA STAR: どちらを選択すべきでしょうか?

NIST SP 800-53 r4 管理フレームワークを組織に適切に導入するには、まず情報システムのセキュリティ分類を実施する必要があります。セキュリティ分類とは、情報システムおよびそのシステムによって処理、保存、または送信される情報の機密性、完全性、または可用性の喪失が、組織の業務、組織資産、個人、他の組織、そして国家に及ぼす潜在的な影響を判断するプロセスです。セキュリティ分類は、FIPS 199 規格（連邦情報および情報システムのセキュリティ分類に関する標準）の適用に基づいており、この規格では、影響度を低、中、高の 3 つのレベルに定義しています。
セキュリティ分類は、NIST SP 800に記載されているリスク管理フレームワーク（RMF）の最初のステップです。
37、第2版、情報システムおよび組織のリスク管理フレームワーク：セキュリティとプライバシーのためのシステムライフサイクルアプローチ。セキュリティ分類は、情報システムのセキュリティ要件を特定し、NIST SP 800-53 r4「連邦政府の情報システムおよび組織のためのセキュリティとプライバシー管理」に基づいて、初期のベースラインセキュリティ管理策を選択するのに役立ちます。その後、ベースラインセキュリティ管理策は、組織固有のニーズ、リスク要因、およびコンプライアンス義務12に対応するために、必要に応じて調整および補足することができます。
参考文献:
* SP 800-53 Rev. 4、連邦情報システムのセキュリティとプライバシー制御 ...
* SP 800-37 Rev. 2、情報セキュリティのリスク管理フレームワーク...

説明
クラウド サービス プロバイダーとクラウド カスタマー間のサプライ チェーン契約には、少なくとも、監査、評価、および契約条件に対するコンプライアンス認定の独立した検証が含まれている必要があります。
これは、クラウドサービスには、クラウドプロバイダー、サブプロバイダー、ブローカー、キャリア、監査人など、サプライチェーンに複数の関係者が関与しているためです。各関係者は、クラウドサービスの提供、品質、セキュリティ、コンプライアンスの確保において、それぞれ異なる役割と責任を担う場合があります。そのため、クラウド利用者にとって、クラウドプロバイダーとそのサブプロバイダーのパフォーマンスとコンプライアンスを可視化し、保証することが重要です。監査、評価、コンプライアンス認証の独立検証は、クラウドプロバイダーとそのサブプロバイダーが契約条件を満たすために実施している管理策とプロセスの有効性を評価する手段です。これらの手段は、クラウド利用者がサプライチェーンにおけるギャップやリスクを特定し、必要に応じて是正措置を講じるのに役立ちます。これは、クラウド コントロール マトリックス (CCM) ドメイン COM-04: 監査保証とコンプライアンスの一部であり、「組織は、適用される規制フレームワーク、契約上の義務、および業界標準への準拠を確認するために、クラウド サービスとデータの監査と評価を実施するためのポリシーと手順を備える必要があります。」と規定されています。12 参考文献:= CCAK 学習ガイド、第 3 章: クラウド コンプライアンス プログラム、551 ページ; クラウド サービス契約の実用ガイド バージョン 2.02

クラウドアシュアランスプログラムの実装フェーズでは、クラウド環境の継続的なセキュリティとコンプライアンスを確保するための運用面の確立に重点が置かれます。これには、アシュアランスフレームワークの構築に不可欠な監視目標と要件の策定が含まれます。
監視対象、監視方法、コンプライアンスとパフォーマンスの測定に使用するメトリックを決定することが含まれます。
参照 = この情報は、クラウド データとシステムの移行に関するポリシーの開発と実装の重要性について説明している Microsoft Cybersecurity1 の「クラウド アシュアランス プログラム ガイド」や、監視目標の確立など、クラウド移行における可観測性の役割を強調している New Relic2 の「クラウド導入成功のためのエンタープライズ ガイド」など、さまざまなリソースで概説されているクラウド移行およびアシュアランス プログラムのベスト プラクティスと一致しています。