|
+CRY-05.02B |
CRY-05.02BIm Allgemeinen sind die privaten Schlüssel (für asymmetrische Algorithmen) oder geheimen Schlüssel (für symmetrische Algorithmen), die für die Verschlüsselung verwendet werden, in Übereinstimmung mit geltenden rechtlichen und regulatorischen Verpflichtungen und Anforderungen, nur für den Cloud-Kunden zugänglich. Wenn der Cloud-Anbieter aufgrund der Art des Cloud-Dienstes auf die privaten oder geheimen Schlüssel des Cloud-Kunden zugreifen muss, um den Cloud-Dienst bereitzustellen, erfolgt dieser Zugriff gemäß IAM-07. Ausnahmen folgen einem festgelegten Verfahren. Ergänzende Informationen Die Anforderung 'nur für den Cloud-Kunden zugänglich' bedeutet, dass Verschlüsselungsschlüssel ausschließlich im Wissen und unter der Kontrolle des Eigentümers (d. h. des Cloud-Kunden) verbleiben. Dies kann durch die Implementierung eines sicheren Schlüsselmanagementsystems adressiert werden. Wenn ein Schlüsselmanagementsystem verwendet wird, müssen die Schlüssel vor einer Nutzung geschützt werden, die nicht ausdrücklich vom Eigentümer des Schlüssels autorisiert wurde, und sie müssen im Klartext unzugänglich bleiben. Dieses Kriterium gilt nicht für Daten, die aus funktionalen Gründen für die Bereitstellung des Cloud-Dienstes nicht verschlüsselt werden können. Ergänzende Informationen Szenarien, in denen der Cloud-Anbieter auf die geheimen oder privaten Schlüssel des Cloud-Kunden zugreifen muss, umfassen unter anderem die Nutzung von vom Cloud-Anbieter verwalteten Schlüsseln in einem SaaS-Dienst. Ergänzende Informationen Die Nutzung eines Master-Schlüssels durch den Cloud-Anbieter kann eine Ausnahme von der Anforderung darstellen, dass Schlüssel nur für die Cloud-Kunden zugänglich sind. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|