CCAK Certificate of Cloud Auditing Knowledge.

Was das CCAK tatsächlich zertifiziert

Das Certificate of Cloud Auditing Knowledge ist ein gemeinsamer Nachweis von ISACA und der Cloud Security Alliance und schließt eine bestimmte Lücke. Die klassische IT-Audit-Ausbildung setzt voraus, dass Sie durch das Rechenzentrum gehen, die Change-Tickets prüfen und Kontrollen, die die Organisation vollständig selbst besitzt, durchgängig testen können. In der Cloud bricht diese Annahme zusammen. Der Anbieter betreibt die physische Infrastruktur, den Hypervisor und große Teile der Plattform, und Sie bekommen sie nie zu Gesicht.

Das CCAK ist darauf ausgerichtet, wie man genau diese Konstellation prüft und absichert: wie sich die Kontrollverantwortung zwischen Kunde und Anbieter aufteilt, welche Nachweise Sie tatsächlich erlangen können und wie man über Assurance argumentiert, wenn man den Test nicht selbst durchführen kann.

Es handelt sich um ein Wissenszertifikat und nicht um eine an Erfahrung gebundene Zertifizierung, daher ist keine mehrjährige Berufserfahrung als Voraussetzung damit verknüpft, wie es beim CISA der Fall ist. Das macht es früher in einer Laufbahn zugänglich, doch es ist als Ergänzung zu tiefergehenden Audit-Nachweisen positioniert und nicht als Ersatz. Der naheliegende Leser ist jemand, der die Audit-Methodik bereits beherrscht und nun die cloudspezifische Schicht obendrauf benötigt.

Was der Wissensbestand abdeckt

Das CCAK ist an die eigenen Werkzeuge der CSA verankert und nicht an die Dokumentation eines einzelnen Anbieters, und genau das hält es herstellerneutral. Zu den zentralen Referenzpunkten, mit denen Praktiker zu arbeiten lernen, gehören:

• Die Cloud Controls Matrix (CCM), das Kontroll-Framework der CSA, das über die Cloud-Domänen hinweg abgebildet und mit Normen wie ISO 27001 sowie den wichtigsten Regulierungsregimen verknüpft ist. Es ist der Kontrollkatalog, gegen den Sie eine Cloud-Umgebung bewerten.
• Das Consensus Assessments Initiative Questionnaire (CAIQ), der standardisierte Fragenkatalog, den ein Kunde einem Anbieter stellt, um zu verstehen, welche CCM-Kontrollen der Anbieter betreibt und wie.
• Das STAR-Programm (Security, Trust, Assurance and Risk), das Assurance-Register der CSA. STAR umfasst Stufen, die von der Selbstbewertung des Anbieters bis zur Zertifizierung durch Dritte reichen, und das CCAK lehrt Sie zu lesen, was jede Stufe belegt und was nicht.
• Geteilte Verantwortung, Kontrollzuordnung und anbieterspezifische Audit-Aspekte über die wichtigsten Hyperscaler hinweg, sodass Sie wissen, welche Kontrollen Sie testen, welche der Anbieter attestiert und wo die Nahtstelle zwischen beiden liegt.

Wo das CCAK neben CISA und CCSP steht

Praktiker verwechseln das CCAK regelmäßig mit den beiden Nachweisen, zwischen denen es angesiedelt ist, daher lohnt es sich, die Abgrenzung sauber zu ziehen. Das CISA belegt, dass Sie Informationssysteme überhaupt prüfen können. Das CCSP von (ISC)2 ist ein breiter Nachweis für Design und Architektur der Cloud-Sicherheit. Das CCAK ist enger und spezifischer als beide: Es geht um die Absicherung der Cloud, nicht um deren Aufbau und nicht um das Prüfen von Systemen im Allgemeinen.

In der Praxis ist die stärkste Kombination CISA plus CCAK. Das CISA liefert die Audit-Disziplin, die Nachweisstandards und die Haltung der Unabhängigkeit; das CCAK ergänzt die Cloud-Überlagerung, sodass ein CISA-Inhaber, dessen Aufgabenbereich cloud-first geworden ist, die Grenzen der geteilten Verantwortung bewerten und STAR-Nachweise lesen kann, ohne Audit von Grund auf neu zu erlernen. Das ist die Progression, der das CCAK dienen soll.