ACSC - Cloud Computing Security for Cloud Service Providers (ACSC : sécurité du cloud computing pour les fournisseurs de services cloud)

Ce document est conçu pour aider les évaluateurs à valider les capacités de sécurité d'un service cloud afin de fournir aux organisations une garantie indépendante des déclarations de sécurité faites par les fournisseurs de services cloud (CSP). Il peut également permettre aux fournisseurs de service cloud de proposer des services cloud sécurisés.

L'équipe de cybersécurité, les architectes cloud et les représentants métier d'une organisation doivent se référer au document connexe Cloud Computing Security for Tenants (Sécurité du cloud computing pour les locataires).

Le cloud computing, tel que défini par l'institut américain NIST offre aux organisations des avantages potentiels tels que l'amélioration des résultats métier. L'atténuation des risques associés à l'utilisation de services cloud est une responsabilité partagée entre l'organisation (appelée le « locataire ») et le fournisseur de services cloud, y compris ses sous-traitants (appelé le « CSP »). Toutefois, les organisations sont en fin de compte responsables de protéger leurs données et de garantir leur confidentialité, leur intégrité et leur disponibilité.

Les organisations doivent évaluer les risques et implémenter les atténuations associées avant d'utiliser des services cloud. Les risques varient en fonction de facteurs tels que la sensibilité et la criticité des données à stocker ou à traiter, la manière dont le service cloud est implémenté et géré, la manière dont l'organisation a l'intention d'utiliser le service cloud, et les défis liés à la détection et à la réponse aux incidents dans les délais par l'organisation. Les organisations doivent comparer ces risques à une évaluation objective des risques liés à l'utilisation de systèmes informatiques internes qui pourraient être mal sécurisés, ne pas offrir la disponibilité adaptée ou être incapables de répondre aux exigences métier modernes.

Ce document couvre les technologies suivantes : Infrastructure as a Service (IaaS), Platform as a Service (PaaS) et Software as a Service (SaaS). Ces technologies sont fournies par un CSP dans le cadre d'un cloud public, d'un cloud communautaire et, dans une moindre mesure, d'un cloud hybride ou d'un cloud privé externalisé.