CSA STAR: cos'è, Level 1 e 2 e come si ottiene

CSA STAR (Security, Trust, Assurance and Risk) è il programma della Cloud Security Alliance con cui un fornitore cloud documenta i propri controlli di sicurezza in un registro pubblico. Ha due livelli: il Level 1 è un'autovalutazione gratuita sul questionario CAIQ, il Level 2 un audit di terza parte sopra ISO/IEC 27001 (STAR Certification) o SOC 2 (STAR Attestation).

Serve a chi vende un SaaS all'enterprise e vuole rispondere una volta sola ai questionari di sicurezza, e a chi deve valutare un fornitore cloud.

Cos'è CSA STAR

La Cloud Security Alliance (CSA) è un'organizzazione no profit che pubblica framework e ricerca sulla sicurezza del cloud. Il suo registro STAR documenta, nella descrizione ufficiale, i controlli di sicurezza e privacy dei servizi cloud. Lo scopo dichiarato è doppio: mostrare ai clienti la postura di sicurezza del servizio e ridurre i questionari da compilare per ognuno di loro.

Il 6 ottobre 2026 il registro elenca 2.814 organizzazioni: 2.704 con un'autovalutazione Level 1 e 414 con un audit Level 2, e un'organizzazione può averli entrambi. Più di quattro su cinque hanno solo il primo livello.

Quando un cliente chiede la certificazione CSA STAR, di solito intende il Level 2: il Level 1 non è un certificato, è una dichiarazione pubblica del fornitore.

CCM e CAIQ: su cosa si basa STAR

• Cloud Controls Matrix (CCM). È il framework di controlli per il cloud. La versione 4.1, pubblicata a gennaio 2026, conta 207 controlli in 17 domini, tra cui identità e accessi, log e monitoraggio, crittografia e chiavi, sicurezza dei dati, vulnerabilità, catena di fornitura. La CSA la mappa su altri standard, tra cui ISO, NIST e PCI DSS, e con il modello di responsabilità condivisa (SSRM) indica quale attore della catena cloud deve occuparsi di ciascun controllo, fornitore o cliente.
• Consensus Assessment Initiative Questionnaire (CAIQ). È il questionario a risposte sì/no costruito sulla CCM, e nella versione 4.1 ha 283 domande. Per il registro si usa il file del CAIQ distribuito a parte: la copia inclusa nel file della CCM serve solo come riferimento.

Per le realtà più piccole esiste la CCM Lite: 96 controlli scelti tra i 207, con il suo CAIQ Lite. Anche le autovalutazioni su CCM Lite entrano nel registro.

Sul cambio di versione, il calendario pubblicato dalla CSA il 19 febbraio 2026 prevede che fino a dicembre 2027 il registro accetti sia la 4.0 sia la 4.1, e che a gennaio 2028 la 4.0 venga ritirata. La CSA raccomanda di passare alla 4.1 il prima possibile.

I livelli di CSA STAR

Level 1: l'autovalutazione

Il fornitore compila il CAIQ e lo pubblica nel registro. È gratuito, le risposte diventano pubbliche e l'autovalutazione va aggiornata ogni anno. La CSA lo indica per i contesti a basso rischio, come modo economico per dare trasparenza.

C'è una variante opzionale a pagamento, Valid-AI-ted (gratuita per i membri corporate della CSA): un sistema di AI della CSA dà un punteggio alle risposte del CAIQ sulla base della CCM, indica cosa rivedere e, se la valutazione è superata, aggiunge un badge alla voce. Resta un'autovalutazione: a leggerla è un modello, non un auditor.

Level 2: l'audit di terza parte

Il Level 2 parte da certificazioni o attestazioni che l'azienda ha già e le rende specifiche per il cloud con i controlli della CCM: non sostituisce la ISO 27001 né il SOC 2, si costruisce sopra di loro. La CSA lo indica per i contesti a rischio medio o alto. Le varianti sono tre:

• STAR Certification. Unisce i requisiti della ISO/IEC 27001 e la CCM. La rilasciano le società di valutazione approvate dalla CSA, segue il protocollo della 27001 e il certificato scade dopo tre anni se non viene rinnovato.
• STAR Attestation. Nasce dalla collaborazione tra CSA e AICPA: è un incarico SOC 2 svolto da revisori CPA con i criteri AICPA più la CCM. La voce nel registro scade dopo un anno se non viene aggiornata.
• C-STAR. La variante per la Grande Cina, sugli standard nazionali cinesi.

Il Level 2 è a pagamento (i membri corporate della CSA hanno una riduzione). La CSA pubblica l'elenco delle società approvate e un Code of Practice per arrivarci.

STAR for AI

Per i sistemi di AI la CSA ha esteso il programma con STAR for AI, basato sull'AI Controls Matrix (AICM), sul questionario AI-CAIQ e sulla ISO/IEC 42001. Dal 20 novembre 2025 il suo Level 2 unisce un AI-CAIQ validato con Valid-AI-ted e una certificazione ISO/IEC 42001.

Certification o Attestation: quale scegliere

Secondo la CSA, a decidere sono soprattutto il paese in cui operi e le norme e gli standard a cui sei soggetto. In pratica:

• Hai già la ISO 27001, o la stai costruendo: la strada naturale è la STAR Certification, che aggiunge la CCM al sistema di gestione che hai già. Il percorso della norma è nella nostra guida completa alla ISO 27001.
• Hai già un report SOC 2, spesso perché vendi a clienti statunitensi: la STAR Attestation estende quel report ai controlli della CCM. Cosa attesta il SOC 2 e come si ottiene lo trovi in SOC 2: cos'è, Type I e Type II.
• Vuoi vendere servizi cloud alla Pubblica Amministrazione italiana: leggi prima la sezione che segue.

CSA STAR in Italia: cosa chiede ACN

In Italia STAR compare in un regolamento di ACN: quello per le infrastrutture digitali e per i servizi cloud per la PA, adottato con Decreto Direttoriale n. 21007/24 del 27 giugno 2024 e applicabile dal 1 agosto 2024. L'Allegato 4 fissa le certificazioni che un fornitore privato deve presentare per qualificare un servizio cloud.

• Livello QC1 (par. 2.3): oltre a un'autocertificazione ISO 9001, la ISO/IEC 27001 con le estensioni ISO/IEC 27017 e 27018 per il servizio da qualificare oppure, in alternativa a questa, la certificazione CSA STAR Level 2.
• Livello QC3 (par. 4.2), quello per i dati e i servizi strategici: oltre ai requisiti dei livelli inferiori servono le certificazioni ISO 22301 e ISO/IEC 20000 e la certificazione CSA STAR Level 2. Qui STAR non è un'alternativa, è un requisito.

Per le domande presentate dopo i primi sei mesi di applicazione del Regolamento, l'allegato chiede che le certificazioni siano emesse da un ente accreditato da un organismo di accreditamento di un paese dell'Unione europea, o legato da un accordo di mutuo riconoscimento a quello italiano, e che coprano tutto il periodo di qualificazione (36 mesi, secondo ACN). Il testo parla di certificazione e di ente certificatore accreditato: la nostra lettura è che per la PA la variante da considerare sia la STAR Certification, e chi pensa all'Attestation fa bene a chiedere conferma ad ACN.

Fuori dalla qualificazione per la PA, il D.Lgs. 138/2024 non nomina STAR, ma chiede ai soggetti NIS2 di curare la sicurezza della catena di approvvigionamento (art. 24, comma 2, lett. d) e di tenere conto della qualità delle pratiche di sicurezza dei propri fornitori (comma 3). Una voce STAR è un'evidenza pubblica e confrontabile da mettere nel fascicolo del fornitore, insieme agli altri criteri che elenchiamo in come scegliere un cloud provider.

Come si ottiene CSA STAR, passo per passo

1. Delimita il servizio. Il registro ha una scheda per organizzazione, che può contenere più servizi valutati ciascuno per conto suo (quella di Google, per esempio, distingue Google Cloud Platform e Google Workspace). Decidi quale servizio porti in STAR e su quali account gira.
2. Scarica CCM e CAIQ 4.1 e fai una gap analysis sui 207 controlli. Per ognuno stabilisci chi ne risponde tra te e il cloud provider su cui giri, con il modello di responsabilità condivisa della CCM.
3. Verifica lo stato reale prima di rispondere. Le risposte su identità, log, cifratura e vulnerabilità dipendono da come sono configurati oggi i tuoi account cloud, non da cosa dice la policy.
4. Compila e pubblica il CAIQ. Con il Level 1 sei nel registro; Valid-AI-ted, se vuoi un riscontro.
5. Scegli la strada del Level 2: Certification se parti dalla ISO 27001, Attestation se parti dal SOC 2, sempre con una società approvata dalla CSA.
6. Tieni viva la voce. Autovalutazione aggiornata ogni anno, Attestation rinnovata ogni anno, Certification sul ciclo della ISO 27001 con audit di sorveglianza e scadenza a tre anni, passaggio alla versione 4.1 entro dicembre 2027.

Come leggere una voce del registro

Se valuti un fornitore, la scheda nel registro dice più del logo sul sito. Guarda:

• Il livello e la variante: CAIQ per il Level 1, Certification o Attestation per il Level 2.
• Il servizio coperto: deve essere quello che compri, non un altro prodotto dello stesso fornitore.
• Le date e la versione del CAIQ: un'autovalutazione di anni fa dice poco sul servizio di oggi.

Due esempi mostrano perché il perimetro conta. Google Cloud dichiara la STAR Level 2 Attestation per Google Cloud e Google Workspace, con un report SOC 2+, e la STAR Level 2 Certification per i servizi ospitati nei data center di Dammam, in Arabia Saudita, e di Doha, in Qatar. Stesso fornitore, due varianti, due perimetri diversi.

Wiz, di cui AmagisTech è partner, è nel registro con un'autovalutazione Level 1 dal 16 febbraio 2024, e nel suo Trust Center la elenca accanto a ISO/IEC 27001, 27017, 27018 e SOC 2 Type 2. È un esempio di come un SaaS che vende all'enterprise combina i pezzi: il CAIQ pubblico risponde al questionario cloud, gli audit ISO e SOC 2 portano la verifica di terza parte.

Cosa STAR non dice

STAR descrive i controlli del fornitore su un servizio. Non dice come il cliente ha configurato il proprio ambiente. La CCM stessa divide i controlli tra fornitore e cliente: un provider con STAR Level 2 può ospitare un bucket di storage aperto su internet, e la responsabilità di quel bucket resta a chi l'ha configurato.

Vale in due direzioni. Chi compra cloud verifica le proprie configurazioni, perché la certificazione del provider non le copre. Chi vende un SaaS e compila il CAIQ deve sapere com'è il cloud del servizio: risorse esposte su internet, permessi troppo larghi, dati sensibili fuori posto. È il lavoro di una piattaforma di sicurezza del cloud come una CNAPP, che legge gli account e mette in relazione questi segnali.

In sintesi

In sintesi: CSA STAR è il programma della Cloud Security Alliance in cui i fornitori cloud documentano in un registro pubblico i propri controlli sulla Cloud Controls Matrix. Il Level 1 è un'autovalutazione gratuita sul CAIQ, aggiornata ogni anno; il Level 2 è un audit di terza parte sopra la ISO 27001 (Certification) o il SOC 2 (Attestation). In Italia ACN accetta la STAR Level 2 in alternativa alla ISO 27001 con le estensioni 27017 e 27018 per il QC1, e la richiede per il QC3.

Prima di compilare il CAIQ o di chiamare l'auditor conviene sapere cosa troverebbe un controllo sul tuo cloud. Lo misuriamo con Wiz, via API e senza installare agenti, nella fotografia del cloud con Wiz.