CCAK Certificate of Cloud Auditing Knowledge.

O que o CCAK realmente certifica

O Certificate of Cloud Auditing Knowledge é uma credencial conjunta da ISACA e da Cloud Security Alliance e responde a uma lacuna específica. A formação tradicional em auditoria de TI presume que você pode percorrer o data center, inspecionar os tickets de mudança e testar de ponta a ponta controles que a organização possui integralmente. Na nuvem, essa premissa se desfaz. O provedor opera a infraestrutura física, o hipervisor e grandes partes da plataforma, e você nunca os vê. O CCAK é construído em torno de como auditar e dar garantia a esse arranjo: como a responsabilidade pelos controles se reparte entre cliente e provedor, que evidência você consegue de fato obter, e como raciocinar sobre garantia quando você não pode executar o teste por conta própria.

É um certificado de conhecimento e não uma certificação condicionada à experiência, portanto não há um requisito de experiência de vários anos associado a ele, como ocorre com o CISA. Isso o torna acessível mais cedo numa carreira, mas ele é posicionado como complemento de credenciais de auditoria mais aprofundadas, e não como substituto. O leitor natural é alguém que já domina o método de auditoria e agora precisa da camada específica de nuvem por cima.

O que o corpo de conhecimento abrange

O CCAK está ancorado nas próprias ferramentas da CSA, e não na documentação de um único provedor, o que é o que o mantém neutro em relação ao fornecedor. Os principais pontos de referência com os quais os profissionais aprendem a trabalhar incluem:

• A Cloud Controls Matrix (CCM), o framework de controles da CSA mapeado através dos domínios da nuvem e correlacionado a normas como ISO 27001 e os principais regimes regulatórios. É o catálogo de controles em relação ao qual você avalia um ambiente de nuvem.
• O Consensus Assessments Initiative Questionnaire (CAIQ), o conjunto padronizado de perguntas que um cliente apresenta a um provedor para entender quais controles da CCM o provedor opera e como.
• O programa STAR (Security, Trust, Assurance and Risk), o registro de garantia da CSA. O STAR tem níveis que vão da autoavaliação do provedor até a certificação por terceiros, e o CCAK ensina você a ler o que cada nível comprova e o que não comprova.
• Responsabilidade compartilhada, alocação de controles e considerações de auditoria específicas de cada provedor através dos principais hyperscalers, para que você saiba quais controles você testa, quais o provedor atesta e onde fica a junção entre eles.

Onde o CCAK se situa em relação ao CISA e ao CCSP

Os profissionais confundem regularmente o CCAK com as duas credenciais entre as quais ele se situa, por isso vale a pena traçar a distinção com clareza. O CISA estabelece que você é capaz de auditar sistemas de informação, simplesmente. O CCSP, da (ISC)2, é uma credencial ampla de concepção e arquitetura de segurança de nuvem. O CCAK é mais estreito e mais específico do que qualquer um deles: trata de dar garantia à nuvem, não de construí-la nem de auditar sistemas em geral.

Na prática, o emparelhamento mais sólido é CISA mais CCAK. O CISA dá a disciplina de auditoria, os padrões de evidência e a mentalidade de independência; o CCAK fornece a sobrecamada de nuvem, de modo que um titular do CISA cujo escopo passou a ser cloud-first possa avaliar as fronteiras da responsabilidade compartilhada e ler evidência STAR sem reaprender auditoria do zero. Essa é a progressão que o CCAK foi concebido para servir.