# CSA STAR：云服务商在 SOC 2 / ISO 27001 之上的加分项

> CSA STAR 不是一个独立的“从零开始”的认证。它通常叠加在 ISO/IEC 27001 或 SOC 2 之上，用云控制矩阵补充云特有的控制，并在公开注册表中展示。

来源页面: https://assurelane.ai/frameworks/csa-star/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要点速览

- 全称: Cloud Security Alliance Security, Trust, Assurance and Risk (STAR) Registry
- 发布/监管方: 云安全联盟（CSA）；Level 2 由认证机构或 CPA 执行
- 成果: STAR 注册表公开条目；Level 2 为认证或鉴证报告
- 适用对象: 云服务提供商（IaaS、PaaS、SaaS）
- 地区: 全球
- 典型周期: Level 1 数周；Level 2 通常与 ISO 27001 或 SOC 2 审核同步
- 有效期: Level 1 每年更新；Level 2 跟随底层认证或报告周期

## 关键时间线

- 2021: 云控制矩阵 CCM v4 发布

## 两个层级

| 层级 | 方式 | 说明 |
| --- | --- | --- |
| **Level 1：自评** | 填写 CAIQ 问卷并在 STAR 注册表公开 | 成本低，展示透明度，但没有第三方验证 |
| **Level 2：第三方** | **STAR 认证**：ISO/IEC 27001 审核 + CCM；**STAR 鉴证**：SOC 2 + CCM | 需与底层认证或报告一起进行 |

## 云控制矩阵（CCM）

CCM 是 CSA 发布的云安全控制框架，v4 版包含 17 个控制域，覆盖应用与接口安全、审计与保证、业务连续性、变更控制、数据安全与隐私、身份与访问管理、基础设施安全、供应链管理等。CCM 与 ISO/IEC 27001、NIST 等框架提供了映射，便于在已有体系基础上补充。

## 哪些企业适合做 CSA STAR？

- 面向全球企业客户的 SaaS 和云服务商，客户经常发来 CAIQ 格式问卷
- 已有 ISO/IEC 27001 或 SOC 2，希望在公开注册表中增加可见度
- 希望在销售材料中展示云安全成熟度

## 常见问题

### 我们刚起步，要先做 STAR 吗？

通常不建议先做。先完成客户最常要求的 SOC 2 或 ISO/IEC 27001，再以较小增量加做 STAR Level 2；Level 1 自评则可以作为早期的低成本透明度展示。

### STAR 能减少安全问卷吗？

能在一定程度上减少。CAIQ 问卷是业内通用格式，很多客户接受以公开的 STAR 条目代替部分问卷。

## 参考来源

- [Cloud Security Alliance — STAR Program](https://cloudsecurityalliance.org/star)
- [Cloud Security Alliance — Cloud Controls Matrix](https://cloudsecurityalliance.org/research/cloud-controls-matrix)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。