两个层级
| 层级 | 方式 | 说明 |
|---|---|---|
| Level 1：自评 | 填写 CAIQ 问卷并在 STAR 注册表公开 | 成本低，展示透明度，但没有第三方验证 |
| Level 2：第三方 | STAR 认证：ISO/IEC 27001 审核 + CCM；STAR 鉴证：SOC 2 + CCM | 需与底层认证或报告一起进行 |
云控制矩阵（CCM）
CCM 是 CSA 发布的云安全控制框架，v4 版包含 17 个控制域，覆盖应用与接口安全、审计与保证、业务连续性、变更控制、数据安全与隐私、身份与访问管理、基础设施安全、供应链管理等。CCM 与 ISO/IEC 27001、NIST 等框架提供了映射，便于在已有体系基础上补充。
哪些企业适合做 CSA STAR？
- 面向全球企业客户的 SaaS 和云服务商，客户经常发来 CAIQ 格式问卷
- 已有 ISO/IEC 27001 或 SOC 2，希望在公开注册表中增加可见度
- 希望在销售材料中展示云安全成熟度