|
+COM-02.01AS |
COM-02.01ASDer Cloud-Anbieter dokumentiert und implementiert ein dreijähriges Auditprogramm, das den Umfang und die Häufigkeit der Audits festlegt. Das Auditprogramm berücksichtigt das Änderungsmanagement, Richtlinien und die Ergebnisse der Risikobeurteilung (vgl. OIS-07). Ergänzende Informationen Ein Audit ist ein systematischer, unabhängiger und dokumentierter Prozess zur Erlangung objektiver Nachweise und zu deren objektiver Bewertung, um festzustellen, inwieweit die Auditkriterien erfüllt sind. Audits können als interne Audits durchgeführt werden, manchmal auch als 'First-Party Audits', die von oder im Auftrag des Cloud-Anbieters selbst durchgeführt werden. Sie können auch als externe Audits durchgeführt werden, allgemein als 'Second-Party-' oder 'Third-Party-Audits' bezeichnet. Second-Party-Audits werden von Parteien durchgeführt, die ein Interesse an dem Cloud-Anbieter haben, wie z. B. Cloud-Kunden, oder von anderen Personen in deren Auftrag. Third-Party-Audits werden von unabhängigen Auditorganisationen durchgeführt. Ein Auditprogramm umfasst Regelungen für eine Reihe von einem oder mehreren Audits, die für einen bestimmten Zeitraum geplant und auf einen bestimmten Zweck ausgerichtet sind. Das Auditprogramm kann beispielsweise einen Zeitraum von drei Jahren umfassen und interne und externe Audits beinhalten. COM-02 ist vollständig auf virtuelle Infrastruktur und 'Infrastructure as Code' anwendbar. Auditaktivitäten können den Betrieb in einer virtuellen Umgebung dennoch beeinträchtigen. Überprüfungen von Konfigurationen könnten beispielsweise im Rahmen von Codeprüfungen durchgeführt werden. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|