CCM (Cloud Controls Matrix)

Définition

La Cloud Controls Matrix (CCM) est un référentiel de sécurité cloud publié et maintenu par la Cloud Security Alliance (CSA), organisation à but non lucratif de référence dans le domaine, structurant l'ensemble des exigences de sécurité applicables aux environnements cloud sous forme de 197 objectifs de contrôle répartis en dix-sept domaines fonctionnels couvrant l'intégralité du cycle de vie de la sécurité cloud : gouvernance et gestion des risques, sécurité des applications et des interfaces, chiffrement et gestion des clés, gestion des identités et des accès, sécurité des infrastructures et de la virtualisation, réponse aux incidents, entre autres domaines. Une caractéristique distinctive majeure du CCM réside dans sa structure duale de responsabilité : chaque contrôle précise explicitement s'il relève de la responsabilité du fournisseur de services cloud (CSP), du client consommateur du service, ou d'une responsabilité partagée entre les deux parties, clarifiant ainsi une source fréquente de confusion et de zones grises dans les contrats cloud. Le référentiel est explicitement cartographié et aligné avec les principaux standards internationaux de sécurité, ISO 27001, PCI DSS, NIST Cybersecurity Framework, facilitant pour une organisation déjà certifiée sur l'un de ces référentiels la démonstration de sa conformité au CCM sans dupliquer intégralement l'effort d'audit. Le CCM sert de fondement technique au programme de certification STAR de la CSA.