PSS-11 Images für virtuelle Maschinen und Container

Falls Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, ist der bereitgestellte Cloud-Dienst mit Funktionalitäten ausgestattet, die die folgenden Aspekte sicherstellen:

1. Cloud-Kunden können die Auswahl von Images virtueller Maschinen oder Containern nach ihren Vorgaben einschränken, sodass Cloud-Nutzer des Cloud-Kunden nur die gemäß diesen Einschränkungen freigegebenen Images oder Container starten können;

2. Falls der Cloud-Anbieter dem Cloud-Kunden Images virtueller Maschinen oder Container bereitstellt, informiert der Cloud-Anbieter den Cloud-Kunden in angemessener Weise über die gegenüber der vorherigen Version vorgenommenen Änderungen;

3. Vom Cloud-Anbieter bereitgestellte Images sind mit Informationen zu ihrer Herkunft gekennzeichnet; und

4. Die vom Cloud-Anbieter bereitgestellten Images sind nach allgemein akzeptierten Branchenstandards gehärtet.

Ergänzende Informationen

Dieses Kriterium ist für das Servicemodell SaaS typischerweise nicht anwendbar.

Allgemein akzeptierte Branchenstandards sind z. B. der Security Configuration Benchmark des Center for Internet Security (CIS) oder die entsprechenden Bausteine im BSI IT-Grundschutz-Kompendium.

Der Cloud-Anbieter prüft beim Start die Integrität und Authentizität von virtuellen Maschinen oder Container-Images und informiert den Cloud-Kunden entsprechend über die Ergebnisse dieser Prüfungen.

Ergänzende Informationen

Typische Maßnahmen zur Prüfung von virtuellen Maschinen oder Container-Images hinsichtlich Integrität und Authentizität umfassen den Einsatz kryptographischer Signaturen.

Während der Laufzeit schützt der Cloud-Anbieter die virtuellen Maschinen oder Container-Images vor Manipulation und informiert den Cloud-Kunden entsprechend über den Status während der Laufzeit.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Images virtueller Maschinen oder Container, die sie mit dem Cloud-Dienst betreiben, ihren Anforderungen an das Informationssicherheitsmanagement entsprechen und dass die Ergebnisse der Integritätsprüfungen beim Start und während der Laufzeit gemäß diesen Anforderungen verarbeitet werden.