COS-03 Überwachung von Verbindungen im Netz des Cloud-Anbieters

Der Cloud-Anbieter unterscheidet zwischen vertrauenswürdigen und nicht vertrauenswürdigen Netzen. Auf Grundlage einer Risikobeurteilung gemäß OIS-07 werden diese in verschiedene Sicherheitszonen für interne und externe Netzbereiche (und DMZ, falls vorhanden) getrennt.

Physische und virtualisierte Netzumgebungen werden so konzipiert und konfiguriert, dass die hergestellte Verbindung zu vertrauenswürdigen oder nicht vertrauenswürdigen Netzen gemäß den definierten Sicherheitsanforderungen eingeschränkt und überwacht wird (vgl. COS-02).

Der Cloud-Anbieter stellt sicher, dass die Konfiguration der Netze den Sicherheitsanforderungen entspricht (vgl. COS-02). Der Cloud-Anbieter überprüft mindestens jährlich und im Falle wesentlicher Änderungen am Cloud-Dienst den Entwurf und die Umsetzung der Konfiguration der Verbindungen im Hinblick auf die definierten Sicherheitsanforderungen.

Ergänzende Informationen

Die Überprüfung der Sicherheitsanforderungen hängt von den eingerichteten Maßnahmen zur Ausgestaltung der Netze ab und kann z. B. die Überwachung und Durchsicht von Firewall-Regeln oder Protokolldateien auf Auffälligkeiten sowie Sichtprüfungen physischer Netzkomponenten auf Veränderungen umfassen.

Ergänzende Informationen

Wenn die Überprüfung durch wesentliche Änderungen am Cloud-Dienst verursacht wird, müssen nur der Entwurf und die Umsetzung der Konfiguration der von diesen Änderungen betroffenen Verbindungen in die Überprüfung einbezogen werden.

Identifizierte Schwachstellen und Abweichungen werden gemäß dem Risikomanagementverfahren einer Risikobeurteilung unterzogen (vgl. OIS-07), und Folgemaßnahmen werden definiert und nachverfolgt (vgl. OPS-18).

Ergänzende Informationen

Die Überprüfung der Sicherheitsanforderungen hängt von den eingerichteten Maßnahmen zur Ausgestaltung der Netze ab und kann z. B. die Überwachung und Durchsicht von Firewall-Regeln oder Protokolldateien auf Auffälligkeiten sowie Sichtprüfungen physischer Netzkomponenten auf Veränderungen umfassen.

In festgelegten Abständen wird die geschäftliche Begründung für die Nutzung aller Dienste, Protokolle und Ports überprüft. Die Überprüfung umfasst auch die Begründungen für kompensierende Maßnahmen für die Nutzung von Protokollen, die als unsicher gelten.

Ergänzende Informationen

Die Überprüfung der Sicherheitsanforderungen hängt von den eingerichteten Maßnahmen zur Ausgestaltung der Netze ab und kann z. B. die Überwachung und Durchsicht von Firewall-Regeln oder Protokolldateien auf Auffälligkeiten sowie Sichtprüfungen physischer Netzkomponenten auf Veränderungen umfassen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die virtuellen Netze innerhalb des Cloud-Dienstes, für die sie verantwortlich sind, gemäß ihren Netzsicherheitsanforderungen konzipiert, konfiguriert und dokumentiert werden (z. B. logische Segmentierung der Organisationseinheiten des Cloud-Kunden).