德国联邦信息安全局局长Arne Schönbohm指出，“信息安全是实现数字化的关键成功因素。C5云安全标准作为云市场的重要决策依据，为所有希望在数字化转型过程中使用云服务的公司提供了宝贵且完善的指导。”

受阿里云委托，普华永道依据C5云安全标准对阿里云的七类云服务进行审计。2015年，普华永道代表德国联邦信息安全局编制了云服务专用合规性控制标准。如今，C5云安全标准已成为国内外企业云服务审计的公认标准。

关于C5云安全标准

• C5云安全标准为云服务专用标准。

• C5云安全标准规定了云服务提供商需满足的要求，以确保云服务满足最低安全标准。

• C5云安全标准涵盖信息安全组织或物理安全在内的17个方面。

• 相较于其他安全标准，环境参数乃创新之举。

• C5云安全标准要求审计报告涵盖以下相关信息，如：所提供服务的种类、数据所在位置、司法管辖地、向政府机关披露的证明和责任，并且还需包含一份系统说明。

• 涵盖上述信息后，C5云安全标准即可更全面地确保信息安全的透明度。

普华永道合伙人Markus Vehlow， 伍智杰 (Jim Woods) 及阿里云安全部门总经理肖力采访实录如下：

普华永道代表德国联邦信息安全局制定了C5云安全标准，那么此标准在云市场中究竟有多重要呢？

Markus Vehlow：全球主要的云服务提供商将C5云安全标准视为完善的合规性证明。同时，越来越多的云服务客户在招标时要求竞标方获得C5云安全认证。更令人欣慰的是，如今C5云安全标准在中国市场得到认可，并且阿里云成为了亚洲首家获得C5云安全认证的云服务提供商。

阿里云委托普华永道负责审计工作的决定性因素是什么？

Markus Vehlow：由于我们曾代表德国联邦信息安全局制定C5云安全标准，能够针对此领域提出深刻见解，因而，在本项目中阿里云对普华永道所具备的知识及专业能力充满了信心。此外，我们与阿里云的合作已有时日，就在我们与德国审计团队在杭州开展阿里云C5认证审计工作的同时，普华永道中国大陆的同仁们也在为阿里云提供SOC1、2、3审计服务。

阿里云委托普华永道负责C5和SOC审计工作有何益处？

伍智杰：SOC审计报告是由服务机构提供给相应的使用者用以评估其外包给服务机构的服务风险应对情况的内部控制报告。而C5云安全标准中部分能够与SOC标准进行匹配，SOC标准使用者由此可以评估对某些C5的安全控制要求满足程度。得益于普华永道在C5和SOC领域的知识和经验，我们能够在部分领域开展C5和SOC整合审计，从而达到一箭双雕的成效。

阿里云为何选择基于C5的审计？

肖力：阿里云为全球首家在符合附加要求的情况下获得C5云安全标准认证的云服务提供商。C5云安全标准主要面向专业的云服务提供商及其审计人员和客户。标准中包含了17个方面的114项基础要求及52项附加要求。云服务提供商必须满足基础要求或基础要求及附加要求。如果云服务提供商与德国公营企业合作，则需要进行C5云安全认证评估。此外，私营企业也逐渐开始采用此认证标准。当前的云服务认证标准并未得到广泛认可，且缺乏一致监管，而C5云安全标准的原理则是将当前这些零碎的认证规定予以统一。

C5云安全认证给阿里云带来了哪些益处？

肖力：C5云安全标准不仅是德国云市场的业界基准，同时也逐渐成为整个欧洲云服务提供体系所遵循的标准，而阿里云达到C5云安全标准的要求体现了阿里云一直以来为实现控制及安全合规性的最高标准所做出的努力。