COM-02 Richtlinie für die Planung und Durchführung von Audits

Der Cloud-Anbieter dokumentiert und implementiert ein mehrjähriges Auditprogramm, das den Umfang und die Häufigkeit der Audits festlegt. Das Auditprogramm berücksichtigt das Änderungsmanagement, Richtlinien und die Ergebnisse der Risikobeurteilung (vgl. OIS-07).

Ergänzende Informationen

Ein Audit ist ein systematischer, unabhängiger und dokumentierter Prozess zur Erlangung objektiver Nachweise und zu deren objektiver Bewertung, um festzustellen, inwieweit die Auditkriterien erfüllt sind. Audits können als interne Audits durchgeführt werden, manchmal auch als 'First-Party Audits', die von oder im Auftrag des Cloud-Anbieters selbst durchgeführt werden. Sie können auch als externe Audits durchgeführt werden, allgemein als 'Second-Party-' oder 'Third-Party-Audits' bezeichnet. Second-Party-Audits werden von Parteien durchgeführt, die ein Interesse an dem Cloud-Anbieter haben, wie z. B. Cloud-Kunden, oder von anderen Personen in deren Auftrag. Third-Party-Audits werden von unabhängigen Auditorganisationen durchgeführt.

Ein Auditprogramm umfasst Regelungen für eine Reihe von einem oder mehreren Audits, die für einen bestimmten Zeitraum geplant und auf einen bestimmten Zweck ausgerichtet sind. Das Auditprogramm kann beispielsweise einen Zeitraum von drei Jahren umfassen und interne und externe Audits beinhalten.

COM-02 ist vollständig auf virtuelle Infrastruktur und 'Infrastructure as Code' anwendbar. Auditaktivitäten können den Betrieb in einer virtuellen Umgebung dennoch beeinträchtigen. Überprüfungen von Konfigurationen könnten beispielsweise im Rahmen von Codeprüfungen durchgeführt werden.

Risikobasierte Richtlinien und Verfahren mit Vorgaben für die Planung und Durchführung von Audits sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt und adressieren folgende Aspekte, um nachteilige Auswirkungen des Audits auf den Betrieb des Cloud-Dienstes zu verhindern:

1. Beschränkung auf reinen Lesezugriff für Systemkomponenten gemäß der vereinbarten Auditplanung und wie es für die Durchführung der Aktivitäten notwendig ist;

2. Aktivitäten, die zu Ausfällen, Verschlechterungen des Cloud-Dienstes oder Verletzungen gegen vertragliche Anforderungen führen können, werden während der planmäßigen Wartungsfester oder außerhalb der Zeiten von Lastspitzen durchgeführt;

3. Protokollierung und Überwachung der Aktivitäten;

4. Überprüfung der Konfigurationen von Server- und Netzkomponenten, die in der Verantwortung des Cloud-Anbieters liegen;

5. Penetrationstests für externe Zugangspunkte; und

6. Quellcodeprüfungen intern entwickelter Sicherheitsfunktionen.

Ergänzende Informationen

Siehe DEV-05 für weitere Erläuterungen zu Sicherheitsfunktionen.

Der Cloud-Anbieter gewährt seinen Cloud-Kunden vertraglich zugesicherte Informations- und Auditrechte. Diese Rechte können einzeln oder im Rahmen von Gruppenaudits ausgeübt werden.

Der Cloud-Anbieter dokumentiert und implementiert ein dreijähriges Auditprogramm, das den Umfang und die Häufigkeit der Audits festlegt. Das Auditprogramm berücksichtigt das Änderungsmanagement, Richtlinien und die Ergebnisse der Risikobeurteilung (vgl. OIS-07).

Ergänzende Informationen

Ein Audit ist ein systematischer, unabhängiger und dokumentierter Prozess zur Erlangung objektiver Nachweise und zu deren objektiver Bewertung, um festzustellen, inwieweit die Auditkriterien erfüllt sind. Audits können als interne Audits durchgeführt werden, manchmal auch als 'First-Party Audits', die von oder im Auftrag des Cloud-Anbieters selbst durchgeführt werden. Sie können auch als externe Audits durchgeführt werden, allgemein als 'Second-Party-' oder 'Third-Party-Audits' bezeichnet. Second-Party-Audits werden von Parteien durchgeführt, die ein Interesse an dem Cloud-Anbieter haben, wie z. B. Cloud-Kunden, oder von anderen Personen in deren Auftrag. Third-Party-Audits werden von unabhängigen Auditorganisationen durchgeführt.

Ein Auditprogramm umfasst Regelungen für eine Reihe von einem oder mehreren Audits, die für einen bestimmten Zeitraum geplant und auf einen bestimmten Zweck ausgerichtet sind. Das Auditprogramm kann beispielsweise einen Zeitraum von drei Jahren umfassen und interne und externe Audits beinhalten.

COM-02 ist vollständig auf virtuelle Infrastruktur und 'Infrastructure as Code' anwendbar. Auditaktivitäten können den Betrieb in einer virtuellen Umgebung dennoch beeinträchtigen. Überprüfungen von Konfigurationen könnten beispielsweise im Rahmen von Codeprüfungen durchgeführt werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass auf Ausfälle und Verschlechterungen des Cloud-Dienstes durch solche Audits angemessen reagiert wird.

Soweit vertraglich vereinbarte Informations- und Auditrechte vorliegen, stellen Cloud-Kunden mit geeigneten Kontrollen sicher, dass diese Rechte gemäß eigenen Anforderungen ausgestaltet und wahrgenommen werden.