COM-03 Interne Audits des Informationssicherheitsmanagementsystems

Sachverständiges Personal überprüft in regelmäßigen Abständen, mindestens jährlich, in internen Audits die Compliance des Informationssicherheitsmanagementsystems mit den relevanten und anwendbaren gesetzlichen, regulatorischen, selbstauferlegten oder vertraglichen Anforderungen (vgl. COM-01). Dies umfasst Prüfungen hinsichtlich:

1. Einhaltung der Richtlinien und Verfahren (vgl. SP-01) innerhalb ihres Verantwortungsbereichs (vgl. OIS-01); und

2. Wirksamkeit organisatorischer und betrieblicher Maßnahmen zur Steuerung der Risiken, die für die Sicherheit von Netz- und Informationssystemen bestehen (vgl. OIS-07).

Ergänzende Informationen

Sachverständiges Personal sind beispielsweise in der Internen Revision des Cloud-Anbieters tätig oder sind vom Cloud-Anbieter beauftragte fachkundige Dritte, wie etwa Prüfungsgesellschaften, und können über einschlägige Zertifizierungen wie 'Certified Internal Auditor (CIA)' verfügen.

Bezüglich Compliance des ISMS vgl. Abschnitt 9.2 der ISO/IEC 27001, der die Anforderungen an die Durchführung interner Audits eines Informationssicherheitsmanagementsystems (ISMS) und an die Einrichtung eines internen Auditprogramms darlegt. Bei der Einrichtung des/der internen Auditprogramme(s) sollte der Cloud-Anbieter den Umfang und die Kriterien unter Berücksichtigung der Bedeutung der betreffenden Prozesse und der Ergebnisse früherer Audits festlegen. Dieser Ansatz ermöglicht es Cloud-Anbietern, den Auditumfang auf Grundlage der Kritikalität der Einhaltung relevanter gesetzlicher, regulatorischer oder vertraglicher Anforderungen (vgl. COM-01) sowie interner Richtlinien und Verfahren (vgl. SP-01) festzulegen, ohne bei jedem Auditzyklus eine umfassende Überprüfung aller Anforderungen zu verlangen.

Sachverständiges Personal, das interne Audits durchführt, stehen nicht in der Weisungslinie des Personals des überprüften Bereichs. Wenn die Größe des Cloud-Anbieters eine solche Trennung der Weisungslinie nicht zulässt, werden alternative Maßnahmen umgesetzt, um die Unparteilichkeit der Compliance-Prüfungen zu gewährleisten.

Identifizierte Schwachstellen und Abweichungen sowie Nichtkonformitäten mit den anwendbaren gesetzlichen, regulatorischen, selbst auferlegten und vertraglichen Anforderungen, die für die Informationssicherheit des Cloud-Dienstes relevant sind, werden gemäß dem Risikomanagementverfahren (vgl. OIS-07) einer Risikobeurteilung unterzogen. Folgemaßnahmen werden definiert und nachverfolgt (vgl. OPS-18).

Auf Grundlage einer Risikobeurteilung (vgl. OIS-07) und der technischen Machbarkeit entscheidet der Cloud-Anbieter, in welchem Umfang interne Audits durch Verfahren ergänzt werden, um anwendbare Anforderungen von Richtlinien und Verfahren in Bezug auf die folgenden Aspekte automatisch zu überwachen:

1. Konfiguration von Systemkomponenten zur Bereitstellung des Cloud-Dienstes innerhalb des Verantwortungsbereichs des Cloud-Anbieters;

2. Leistung und Verfügbarkeit dieser Systemkomponenten;

3. Reaktionszeit auf Vorfälle und Sicherheitsvorfälle; und

4. Wiederherstellungszeit (Zeitraum bis zum Abschluss der Fehlerbehandlung).

Identifizierte Schwachstellen und Abweichungen werden automatisch an das dafür zuständige Personal oder die dafür zuständigen Systemkomponenten des Cloud-Anbieters berichtet, um diese umgehend einer Beurteilung zu unterziehen und erforderliche Maßnahmen einzuleiten.

Der Cloud-Anbieter stellt Cloud-Kunden Schnittstellen zur Verfügung, damit diese die Einhaltung ausgewählter vertraglicher Vereinbarungen in Echtzeit prüfen können.