CRY-03 Überprüfung kryptographischer Verfahren

Der Cloud-Anbieter stellt sicher, dass Verschlüsselungs-, Authentisierungs- und Schlüsselmanagementverfahrenn gemäß COM-02 und COM-03 regelmäßig auditiert werden, um potenzielle Schwachstellen zu identifizieren und zu beheben. Mindestens werden Überprüfungen jährlich und unmittelbar nach Sicherheitsvorfällen durchgeführt, an denen kryptographische Komponenten beteiligt sind.

Ergänzende Informationen

Weitere Kriterien für das Schlüsselmanagement finden sich in den Kriterien CRY-06, CRY-07, CRY-09 - CRY-19

Im Rahmen der Überprüfungen stellt der Cloud-Anbieter fest, ob die kryptographischen Verfahren mit dem Stand der Technik übereinstimmen, und aktualisiert sie bei Bedarf.

Ergänzende Informationen

Der Cloud-Anbieter sollte den kryptographischen Änderungsmanagementprozess (vgl. CRY-02) anwenden, wenn er die kryptographischen Verfahren aktualisiert, um sie an den Stand der Technik anzupassen.