OIS-04 Aufgabentrennung

Miteinander in Konflikt stehende Aufgaben und Verantwortlichkeitsbereiche sind auf Basis einer Risikobeurteilung gemäß OIS-07 getrennt, um Risiken unbefugter oder unbeabsichtigter Änderungen oder Missbrauch von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und Cloud-Anbieterdaten zu reduzieren. Die Risikobeurteilung umfasst folgende Bereiche, soweit diese zur Bereitstellung des Cloud-Dienstes anwendbar sind und im Verantwortungsbereich des Cloud-Anbieters liegen:

1. Verwaltung eines Rollen-, Rechte- und Berechtigungsrahmenwerks auf Grundlage einer rollenbasierten Zugriffskontrolle und denr geschäftlichen sowie sicherheitsbezogenen Anforderungen des Cloud-Anbieters (vgl. IAM-01);

2. Entwicklung, Test und Freigabe von Änderungen (vgl. DEV-01);

3. Risikomanagement (vgl. OIS-07); und

4. Betrieb der Systemkomponenten.

Ergänzende Informationen

Identifizierte Ereignisse, die unbefugte oder unbeabsichtigte Änderungen an oder den Missbrauch von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und Cloud-Anbieterdaten darstellen können, können beispielsweise als Sicherheitsvorfall behandelt werden, vgl. SIM-01.

Der Bereich des Risikomanagements im Kontext der Funktionstrennung bezieht sich auf die sogenannten unterschiedlichen Verteidigungslinien, d. h. Rollen, die Risiken überprüfen (2. Verteidigungslinie), unterscheiden sich von Rollen, die Risiken verantworten (1. Verteidigungslinie).

Mitigierende Maßnahmen werden im Risikobehandlungsplan (vgl. OIS-09) dargelegt und vom Cloud-Anbieter in einer Weise umgesetzt, die der Funktionstrennung Vorrang einräumt.

Wenn eine Funktionstrennung aufgrund organisatorischer oder technischer Einschränkungen nicht umgesetzt werden kann, richtet der Cloud-Anbieter kompensierende Kontrollen ein und betreibt diese, um relevante Aktivitäten zu überwachen. Diese Kontrollen sind darauf ausgelegt, unbefugte oder unbeabsichtigte Änderungen, den Missbrauch von Daten oder Verstöße gegen betriebliche Richtlinien zu erkennen und zeitnahe sowie angemessene Reaktionsmaßnahmen zu ermöglichen.

Ein Verzeichnis bestehend aus im Konflikt stehenden Aufgaben, Verantwortlichkeiten und auflösenden Maßnahmen wird vom Cloud-Anbieter eingerichtet und gepflegt. Bei der Zuweisung, Änderung oder Entziehung von Rollen, Rechten und Berechtigungen setzt der Cloud-Anbieter die Funktionstrennung durch.

Zur Auflösung von im Konflikt stehenden Rollen werden mit der Funktionstrennung verbundene Maßnahmen vom Cloud-Anbieter überwacht und durchgesetzt.

Zeitnahe und angemessene Abhilfemaßnahmen adressieren alle bei der Überwachung festgestellten Abweichungen.