COS-06 Trennung des Datenverkehrs in gemeinsam genutzten Netzumgebungen

Der Datenverkehr der Cloud-Kunden in gemeinsam genutzten Netzumgebungen wird auf Netzebene gemäß eines dokumentierten Rahmenwerks getrennt, um die Vertraulichkeit und Integrität der übertragenen Daten sicherzustellen.

Ergänzende Informationen

Wenn der Cloud-Anbieter keine gemeinsam genutzten Netzumgebungen für Cloud-Kunden verwendet und stattdessen eine physische Trennung nutzt, ist das Basiskriterium nicht anwendbar.

Soweit Angemessenheit und Wirksamkeit der logischen Segmentierung nicht mit hinreichender Sicherheit beurteilt werden können (z. B. aufgrund einer komplexen Implementierung), kann der Nachweis auch über Prüfungsergebnisse sachverständiger Dritter erfolgen (z. B. Sicherheitsaudit zur Validierung des Rahmenwerks). Die Trennung gespeicherter und verarbeiteter Cloud-Kundendaten ist Gegenstand der Kriterien OPS-30 und OPS-31. Nach erfolgreicher Authentisierung über einen ungesicherten Kommunikationskanal (HTTP) soll auf einen gesicherten Kommunikationskanal (HTTPS) gewechselt werden.

Bei IaaS/PaaS wird die sichere Trennung durch physisch getrennte Netze oder durch eine Verschlüsselung der Netze sichergestellt, die dem Stand der Technik entspricht. Für die Definition einer Verschlüsselung nach dem Stand der Technik sollte die Technische Richtlinie TR-02102 des BSI berücksichtigt werden (vgl. CRY-01).

Im Falle von IaaS/PaaS wird die sichere Trennung durch physisch getrennte Netze oder durch Verschlüsselung nach dem Stand der Technik in Kombination mit logischer Netztrennung oder -Kapselung sichergestellt.

Ergänzende Informationen

Wenn der Cloud-Anbieter keine gemeinsam genutzten Netzumgebungen für Cloud-Kunden verwendet und stattdessen eine physische Trennung nutzt, ist das Basiskriterium nicht anwendbar.

Soweit Angemessenheit und Wirksamkeit der logischen Segmentierung nicht mit hinreichender Sicherheit beurteilt werden können (z. B. aufgrund einer komplexen Implementierung), kann der Nachweis auch über Prüfungsergebnisse sachverständiger Dritter erfolgen (z. B. Sicherheitsaudit zur Validierung des Rahmenwerks). Die Trennung gespeicherter und verarbeiteter Cloud-Kundendaten ist Gegenstand der Kriterien OPS-30 und OPS-31. Nach erfolgreicher Authentisierung über einen ungesicherten Kommunikationskanal (HTTP) soll auf einen gesicherten Kommunikationskanal (HTTPS) gewechselt werden.

Bei IaaS/PaaS wird die sichere Trennung durch physisch getrennte Netze oder durch eine Verschlüsselung der Netze sichergestellt, die dem Stand der Technik entspricht. Für die Definition einer Verschlüsselung nach dem Stand der Technik sollte die Technische Richtlinie TR-02102 des BSI berücksichtigt werden (vgl. CRY-01).

Cloud-Kunden stellen mit geeigneten Kontrollen für diejenigen Teile des Cloud-Dienstes in ihrer Verantwortung sicher, dass virtuelle Netze gemäß ihren Netzsicherheitsanforderungen konzipiert, konfiguriert und dokumentiert werden (z. B. logische Segmentierung von Organisationseinheiten).