AM-01 Rahmenwerk für Asset Management

Ein Rahmenwerk für Asset Management ist gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, in dem die folgenden Aspekte beschrieben sind:

1. Identifizierung von Assets, die verwendet werden, um den Cloud-Dienst in der Produktionsumgebung bereitzustellen;

2. Definition eines Schemas zur Ermittlung des Schutzbedarfs auf der Grundlage der Informationen, die auf dem Asset verarbeitet, gespeichert oder übertragen werden;

3. Definition von Asset-Typen unter Berücksichtigung mindestens der Unterscheidung zwischen Hardware- und Software-Objekten;

4. Definition von Asset-Lebenszyklen auf der Grundlage des Asset-Typs; und

5. Definition von Verfahren für die Inventarisierung von Hardware- und Software-Assets.

Ergänzende Informationen

Assets im Sinne dieses Kriterienbereichs sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übermittlung, Löschung oder Vernichtung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z. B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver.

Diese Objekte bestehen wiederum aus Hardware- und Software-Objekten:

Hardware-Objekte sind:

1. Physische und virtuelle Infrastruktur-Ressourcen (z. B. Server, Speichersysteme, Netzkomponenten); und

2. Endgeräte, soweit der Cloud-Anbieter in einer Risikobeurteilung festgestellt hat, dass diese bei Verlust oder unautorisierten Zugriffen die Informationssicherheit des Cloud-Dienstes gefährden könnten (z. B. Mobilgeräte, die als Security-Token zur Authentifizierung genutzt werden).

Software-Objekte sind z. B. Hypervisor, Container, Betriebssysteme, Datenbanken, Microservices und Programmierschnittstellen (APIs).

Der Lebenszyklus eines Assets umfasst:

1. Anschaffung;

2. Inbetriebnahme;

3. Instandhaltung;

4. Außerbetriebnahme; und

5. Entsorgung.

Die über Assets gesammelten Informationen werden in Logging- und Monitoring-Anwendungen berücksichtigt, um:

1. die Auswirkungen auf Cloud-Dienste und -Funktionen im Falle von Ereignissen zu identifizieren, die zu einer Verletzung der Schutzziele führen könnten; und

2. Informationen zur Unterstützung betroffener Cloud-Kunden gemäß den vertraglichen Vereinbarungen bereitzustellen.

Ergänzende Informationen

Assets im Sinne dieses Kriterienbereichs sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übermittlung, Löschung oder Vernichtung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z. B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver.

Diese Objekte bestehen wiederum aus Hardware- und Software-Objekten:

Hardware-Objekte sind:

1. Physische und virtuelle Infrastruktur-Ressourcen (z. B. Server, Speichersysteme, Netzkomponenten); und

2. Endgeräte, soweit der Cloud-Anbieter in einer Risikobeurteilung festgestellt hat, dass diese bei Verlust oder unautorisierten Zugriffen die Informationssicherheit des Cloud-Dienstes gefährden könnten (z. B. Mobilgeräte, die als Security-Token zur Authentifizierung genutzt werden).

Software-Objekte sind z. B. Hypervisor, Container, Betriebssysteme, Datenbanken, Microservices und Programmierschnittstellen (APIs).

Der Lebenszyklus eines Assets umfasst:

1. Anschaffung;

2. Inbetriebnahme;

3. Instandhaltung;

4. Außerbetriebnahme; und

5. Entsorgung.

The cloud service provider assures that the inventory of assets is up-to-date by implementing monitoring measures to the process that is maintaining it.

Supplementary information

Assets within the meaning of this domain are the objects required for the information security of the cloud service during the creation, processing, storage, transmission, deletion or destruction of information in the cloud service provider's area of responsibility, e.g. firewalls, load balancers, web servers, application servers and database servers.

These objects consist of hardware and software objects.

Hardware objects include, but are not limited to:

1. Physical and virtual infrastructure resources (e.g. servers, storage systems, network components); and

2. End user devices if the cloud service provider has determined in a risk assessment that these could endanger the information security of the cloud service in the event of loss or unauthorised access (e.g. mobile devices used as security tokens for authentication).

Software objects include, but are not limited to, hypervisors, containers, operating systems, databases, microservices and application programming interfaces (APIs).

The lifecycle of an asset includes, depending on the asset type:

1. Acquisition;

2. Commissioning;

3. Maintenance;

4. Decommissioning; and

5. Disposal.