AM-09 Klassifizierung und Kennzeichnung von Assets

Assets werden klassifiziert und, falls möglich, gekennzeichnet. Klassifizierung und Kennzeichnung eines Assets entsprechen dem Schutzbedarf der Kategorie von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten, die es verarbeitet, speichert oder übermittelt.

Ergänzende Informationen

Sofern der Cloud-Anbieter keine spezifische Klassifizierung der Assets vornimmt, können alle Assets so behandelt werden, als würden sie das höchste Sicherheitsniveau erfordern.

Klassifizierungsstufen werden mindestens jährlich und bei wesentlichen Änderungen am Cloud-Dienst überprüft. Auf der Grundlage der Überprüfung werden die Klassifizierungsstufen gegebenenfalls aktualisiert.

Ergänzende Informationen

Sofern der Cloud-Anbieter keine spezifische Klassifizierung der Assets vornimmt, können alle Assets so behandelt werden, als würden sie das höchste Sicherheitsniveau erfordern.

Ergänzende Informationen

Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von den Änderungen betroffenen Klassifizierungsstufen in die Überprüfung einbezogen werden.

Der Schutzbedarf wird durch die für Assets zuständigen Personen oder Gruppen des Cloud-Anbieters nach einem einheitlichen und dokumentierten Klassifizierungsschema ermittelt.

Ergänzende Informationen

Sofern der Cloud-Anbieter keine spezifische Klassifizierung der Assets vornimmt, können alle Assets so behandelt werden, als würden sie das höchste Sicherheitsniveau erfordern.

Das Klassifizierungsschema sieht Sicherheitsniveaus für die Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität vor. Diese Schutzziele sind auf Liefer- und Wiederherstellungsziele abgestimmt, die in Geschäftsfortführungs- und Wiederherstellungsplänen festgelegt sind.

Ergänzende Informationen

Sofern der Cloud-Anbieter keine spezifische Klassifizierung der Assets vornimmt, können alle Assets so behandelt werden, als würden sie das höchste Sicherheitsniveau erfordern.

Die eindeutige Identifizierung physischer Geräte dient als zusätzliche Methode für die Verbindungsauthentifizierung.

Ergänzende Informationen

Um sicherzustellen, dass alle physischen Assets eindeutig identifiziert werden, kann der Cloud-Anbieter Praktiken implementieren wie:

1. die Nutzung einer zentralisierten Geräteverwaltungsplattform zur Überwachung und Steuerung aller Geräte;

2. die Zuweisung eindeutiger Identifikatoren (z. B. MAC-Adressen, Seriennummern) zu allen Geräten; und

3. die Nutzung automatisierter Mechanismen zur Registrierung verbundener Geräte.

Die Geräteidentifizierung ist in die Prozesse der Asset-Klassifizierung und -Kennzeichnung integriert.

Ergänzende Informationen

Die Integration der Geräteidentifizierung stellt sicher, dass jedes Asset eindeutig erkannt und auf der Grundlage seines Schutzbedarfs angemessen klassifiziert wird. Dies ist besonders wichtig für mobile Geräte und Endgeräte, die sensible Daten enthalten oder als Zugangspunkte zu Cloud-Diensten dienen können. Eine ordnungsgemäße Kennzeichnung unterstützt die Rückverfolgbarkeit, die Risikobeurteilung und die Durchsetzung von Sicherheitskontrollen über den gesamten Asset-Lebenszyklus hinweg.

Anwendungen zur Protokollierung und Überwachung berücksichtigen den Schutzbedarf der Assets, um bei Ereignissen, die zu einer Verletzung der Schutzziele führen können, das dafür zuständige Personal so zu informieren, dass erforderliche Maßnahmen mit einer geeigneten Priorität eingeleitet werden.

Maßnahmen für Ereignisse bei Assets mit einem erhöhten Schutzbedarf haben Priorität vor Ereignissen bei Assets mit einem geringeren Schutzbedarf.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass der Schutzbedarf der Informationen, die mit dem Cloud-Dienst verarbeitet oder gespeichert werden können, angemessen bestimmt wird.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass der Schutzbedarf der Informationen, die mit dem Cloud-Dienst verarbeitet oder gespeichert werden dürfen, angemessen ermittelt wird.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die mit dem Cloud-Dienst verarbeiteten oder gespeicherten Informationen gemäß ihrem Schutzbedarf vor Manipulieren, Kopieren, Modifizieren, Umleiten oder Löschen geschützt sind.