CCAK Certificate of Cloud Auditing Knowledge.

Cosa certifica davvero il CCAK

Il Certificate of Cloud Auditing Knowledge è una credenziale congiunta di ISACA e Cloud Security Alliance e risponde a una lacuna precisa. La formazione tradizionale in audit IT presuppone che tu possa percorrere il data center, esaminare i ticket di change e testare end to end i controlli che l'organizzazione possiede interamente. Nel cloud questo presupposto crolla. Il fornitore gestisce l'infrastruttura fisica, l'hypervisor e gran parte della piattaforma, e tu non li vedi mai. Il CCAK è costruito attorno a come auditare e dare assurance a questo assetto: come si ripartisce la responsabilità dei controlli tra cliente e fornitore, quali evidenze puoi ottenere davvero, e come ragionare sull'assurance quando non puoi eseguire tu stesso il test.

È un certificato di conoscenze più che una certificazione vincolata all'esperienza, quindi non ha associato un requisito di esperienza pluriennale come accade per il CISA. Questo lo rende accessibile prima nella carriera, ma è posizionato come complemento di credenziali di audit più approfondite anziché come sostituto. Il lettore naturale è qualcuno che padroneggia già il metodo di audit e ora ha bisogno dello strato specifico del cloud al di sopra.

Cosa copre il corpo di conoscenze

Il CCAK è ancorato agli strumenti propri della CSA anziché alla documentazione di un singolo fornitore, ed è ciò che lo mantiene neutrale rispetto al vendor. I principali punti di riferimento con cui i professionisti imparano a lavorare includono:

• La Cloud Controls Matrix (CCM), il framework di controlli della CSA mappato attraverso i domini del cloud e messo in corrispondenza con norme come ISO 27001 e i principali regimi regolatori. È il catalogo di controlli rispetto al quale valuti un ambiente cloud.
• Il Consensus Assessments Initiative Questionnaire (CAIQ), l'insieme standardizzato di domande che un cliente pone a un fornitore per capire quali controlli della CCM il fornitore gestisce e come.
• Il programma STAR (Security, Trust, Assurance and Risk), il registro di assurance della CSA. STAR ha livelli che vanno dall'autovalutazione del fornitore fino alla certificazione da parte di terzi, e il CCAK ti insegna a leggere cosa ciascun livello dimostra e cosa non dimostra.
• La responsabilità condivisa, l'allocazione dei controlli e le considerazioni di audit specifiche di ciascun fornitore attraverso i principali hyperscaler, così da sapere quali controlli testi tu, quali il fornitore attesta e dove si trova la giunzione tra i due.

Dove si colloca il CCAK rispetto a CISA e CCSP

I professionisti confondono regolarmente il CCAK con le due credenziali tra cui si trova, quindi vale la pena tracciare la distinzione in modo netto. Il CISA stabilisce che sei in grado di auditare i sistemi informativi, punto. Il CCSP, di (ISC)2, è una credenziale ampia di progettazione e architettura della sicurezza cloud. Il CCAK è più ristretto e più specifico di entrambi: riguarda l'assurance del cloud, non la sua costruzione e non l'audit dei sistemi in generale.

In pratica l'abbinamento più solido è CISA più CCAK. Il CISA fornisce la disciplina di audit, gli standard di evidenza e la mentalità di indipendenza; il CCAK aggiunge lo strato cloud, così che un titolare del CISA il cui perimetro è diventato cloud-first possa valutare i confini della responsabilità condivisa e leggere le evidenze STAR senza riapprendere l'audit da zero. È la progressione che il CCAK è concepito per servire.