|
+COM-03.01B |
COM-03.01BSachverständiges Personal überprüft in regelmäßigen Abständen, mindestens jährlich, in internen Audits die Compliance des Informationssicherheitsmanagementsystems mit den relevanten und anwendbaren gesetzlichen, regulatorischen, selbstauferlegten oder vertraglichen Anforderungen (vgl. COM-01). Dies umfasst Prüfungen hinsichtlich: 1. Einhaltung der Richtlinien und Verfahren (vgl. SP-01) innerhalb ihres Verantwortungsbereichs (vgl. OIS-01); und 2. Wirksamkeit organisatorischer und betrieblicher Maßnahmen zur Steuerung der Risiken, die für die Sicherheit von Netz- und Informationssystemen bestehen (vgl. OIS-07). Ergänzende Informationen Sachverständiges Personal sind beispielsweise in der Internen Revision des Cloud-Anbieters tätig oder sind vom Cloud-Anbieter beauftragte fachkundige Dritte, wie etwa Prüfungsgesellschaften, und können über einschlägige Zertifizierungen wie 'Certified Internal Auditor (CIA)' verfügen. Bezüglich Compliance des ISMS vgl. Abschnitt 9.2 der ISO/IEC 27001, der die Anforderungen an die Durchführung interner Audits eines Informationssicherheitsmanagementsystems (ISMS) und an die Einrichtung eines internen Auditprogramms darlegt. Bei der Einrichtung des/der internen Auditprogramme(s) sollte der Cloud-Anbieter den Umfang und die Kriterien unter Berücksichtigung der Bedeutung der betreffenden Prozesse und der Ergebnisse früherer Audits festlegen. Dieser Ansatz ermöglicht es Cloud-Anbietern, den Auditumfang auf Grundlage der Kritikalität der Einhaltung relevanter gesetzlicher, regulatorischer oder vertraglicher Anforderungen (vgl. COM-01) sowie interner Richtlinien und Verfahren (vgl. SP-01) festzulegen, ohne bei jedem Auditzyklus eine umfassende Überprüfung aller Anforderungen zu verlangen. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|