AM-08 Verpflichtung zur ordnungsgemäßen Nutzung, sicheren Handhabung und Rückgabe von Assets

Der Cloud-Anbieter stellt in einer Risikobeurteilung (vgl. OIS-07) fest, ob der Verlust von oder unautorisierte Zugriffe auf Assets die Informationssicherheit des Cloud-Dienstes gefährden könnten. Falls dies der Fall ist, wird das interne und externe Personal des Cloud-Anbieters nachweislich auf die Richtlinien und Verfahren für die ordnungsgemäße Nutzung und sichere Handhabung von Assets verpflichtet, bevor diese verwendet werden dürfen.

Ergänzende Informationen

Das Kriterium betrifft im Wesentlichen Mobilgeräte (z. B. Notebooks, Tablets, Smartphones, FIDO2-Sicherheitsschlüssel etc.), insbesondere, wenn auf diesen Geräten vertrauliche Informationen gespeichert sind, die bei unautorisierten Zugriffen dazu genutzt werden können, privilegierten Zugriff auf den Cloud-Dienst zu erhalten (z. B. wenn diese als Security-Token zur Authentifizierung genutzt werden).

Ausgehändigte Assets werden bei Beendigung des Beschäftigungsverhältnisses nachweislich zurückgegeben.

Ergänzende Informationen

Das Kriterium betrifft im Wesentlichen Mobilgeräte (z. B. Notebooks, Tablets, Smartphones, FIDO2-Sicherheitsschlüssel etc.), insbesondere, wenn auf diesen Geräten vertrauliche Informationen gespeichert sind, die bei unautorisierten Zugriffen dazu genutzt werden können, privilegierten Zugriff auf den Cloud-Dienst zu erhalten (z. B. wenn diese als Security-Token zur Authentifizierung genutzt werden).

Wenn Assets nicht vor oder am Tag der Beendigung zurückgegeben werden können, entfernt der Cloud-Anbieter die Zugriffsrechte des Personals spätestens zum Datum der Beendigung des Beschäftigungsverhältnisses.

Ergänzende Informationen

Das Kriterium betrifft im Wesentlichen Mobilgeräte (z. B. Notebooks, Tablets, Smartphones, FIDO2-Sicherheitsschlüssel etc.), insbesondere, wenn auf diesen Geräten vertrauliche Informationen gespeichert sind, die bei unautorisierten Zugriffen dazu genutzt werden können, privilegierten Zugriff auf den Cloud-Dienst zu erhalten (z. B. wenn diese als Security-Token zur Authentifizierung genutzt werden).

Ergänzende Informationen

Die Entfernung der Zugriffsrechte von ausgeschiedenem Personal kann z. B. umgesetzt werden, indem die Identität des jeweiligen Personals auf dem Gerät deaktiviert wird.