CCAK Certificate of Cloud Auditing Knowledge.

Ce que le CCAK certifie réellement

Le Certificate of Cloud Auditing Knowledge est un titre conjoint de l'ISACA et de la Cloud Security Alliance, et il répond à un manque précis. La formation traditionnelle à l'audit informatique part du principe que vous pouvez parcourir le centre de données, examiner les tickets de changement et tester de bout en bout des contrôles que l'organisation possède en propre. Dans le cloud, cette hypothèse s'effondre. Le fournisseur exploite l'infrastructure physique, l'hyperviseur et de larges parties de la plateforme, et vous ne les voyez jamais.

Le CCAK est construit autour de la manière d'auditer et d'assurer ce dispositif : comment la responsabilité des contrôles se répartit entre le client et le fournisseur, quelles preuves vous pouvez réellement obtenir, et comment raisonner sur l'assurance lorsque vous ne pouvez pas réaliser le test vous-même.

Il s'agit d'un certificat de connaissances plutôt que d'une certification conditionnée par l'expérience, il n'y a donc pas d'exigence d'expérience pluriannuelle qui y soit attachée comme c'est le cas pour le CISA. Cela le rend accessible plus tôt dans une carrière, mais il est positionné comme un complément aux titres d'audit plus approfondis plutôt qu'un remplacement. Le lecteur naturel est une personne qui maîtrise déjà la méthode d'audit et qui a désormais besoin de la couche spécifique au cloud par-dessus.

Ce que couvre le corpus de connaissances

Le CCAK est ancré dans les outils propres de la CSA plutôt que dans la documentation d'un fournisseur unique, ce qui le maintient neutre vis-à-vis des éditeurs. Les principaux points de référence que les praticiens apprennent à utiliser sont notamment :

• La Cloud Controls Matrix (CCM), le référentiel de contrôles de la CSA cartographié à travers les domaines du cloud et mis en correspondance avec des normes telles qu'ISO 27001 et les principaux régimes réglementaires. C'est le catalogue de contrôles au regard duquel vous évaluez un environnement cloud.
• Le Consensus Assessments Initiative Questionnaire (CAIQ), l'ensemble normalisé de questions qu'un client adresse à un fournisseur pour comprendre quels contrôles de la CCM le fournisseur met en œuvre et comment.
• Le programme STAR (Security, Trust, Assurance and Risk), le registre d'assurance de la CSA. STAR comporte des niveaux allant de l'auto-évaluation du fournisseur jusqu'à la certification par un tiers, et le CCAK vous apprend à lire ce que chaque niveau prouve et ne prouve pas.
• La responsabilité partagée, la répartition des contrôles et les considérations d'audit propres à chaque fournisseur à travers les principaux hyperscalers, afin que vous sachiez quels contrôles vous testez, lesquels le fournisseur atteste, et où se situe la jonction entre les deux.

Où se situe le CCAK par rapport au CISA et au CCSP

Les praticiens confondent régulièrement le CCAK avec les deux titres entre lesquels il se situe, il vaut donc la peine d'établir la distinction clairement. Le CISA établit que vous êtes en mesure d'auditer des systèmes d'information, tout court. Le CCSP, de (ISC)2, est un titre large de conception et d'architecture de la sécurité du cloud. Le CCAK est plus étroit et plus spécifique que l'un ou l'autre : il porte sur l'assurance du cloud, pas sur sa construction et pas sur l'audit des systèmes en général.

En pratique, l'association la plus solide est CISA plus CCAK. Le CISA apporte la discipline d'audit, les standards de preuve et l'état d'esprit d'indépendance ; le CCAK fournit la surcouche cloud, de sorte qu'un titulaire du CISA dont le périmètre est devenu cloud-first puisse évaluer les frontières de la responsabilité partagée et lire les preuves STAR sans réapprendre l'audit depuis le début. C'est la progression que le CCAK est conçu pour servir.