CRY-08 Ausstellung von Public-Key-Zertifikaten

Der Cloud-Anbieter hat Verfahren dokumentiert und umgesetzt, um Public-Key-Zertifikate sicher auszustellen, einzuholen und dabei die Integrität und Authentizität kryptographischer Schlüssel sicherzustellen. Diese Verfahren umfassen:

1. Überprüfung der Identität vor der Ausstellung von Public-Key-Zertifikaten, die vom Cloud-Anbieter oder in seinem Auftrag für seine eigenen Systemkomponenten oder sein Personal ausgestellt werden, um sicherzustellen, dass sie legitimen Entitäten gewährt werden;

2. Sichere Methoden für die Ausstellung von Zertifikaten, die vom Cloud-Anbieter oder in seinem Auftrag für seine eigenen Systemkomponenten oder sein Personal ausgestellt werden, um unbefugten Zugriff zu verhindern; und

3. Verfahren zur Einholung von Public-Key-Zertifikaten von vertrauenswürdigen Zertifizierungsstellen, um die Authentizität der vom Cloud-Anbieter verwendeten Zertifikate sicherzustellen.

Ergänzende Informationen

Die ersten beiden Aufzählungspunkte gelten für Zertifikate, die vom Cloud-Anbieter oder in seinem Auftrag für seine eigenen Systemkomponenten und sein Personal ausgestellt werden. Wenn der Cloud-Anbieter Zertifizierungsstellendienste für Cloud-Kunden anbietet, gilt das Prinzip der geteilten Verantwortung, d. h. der Cloud-Anbieter sollte sicherstellen, dass der Cloud-Dienst angemessene technische Maßnahmen bereitstellt, damit Cloud-Kunden eine angemessene Identitätsprüfung durchführen können (vgl. auch die korrespondierenden Kontrollen der Cloud-Kunden).

Der dritte Aufzählungspunkt gilt für Zertifikate, die der Cloud-Anbieter von externen Zertifizierungsstellen zur Verwendung in seinen eigenen Cloud-Dienst und Systemkomponenten einholt. Der Cloud-Anbieter sollte sicherstellen, dass Zertifikate nur von vertrauenswürdigen Zertifizierungsstellen eingeholt werden und dass die Authentizität erhaltener Zertifikate vor der Nutzung verifiziert wird. Dieses Kriterium erstreckt sich nicht notwendigerweise auf Zertifikate, die Cloud-Kunden von externen Zertifizierungsstellen für ihre eigenen Zwecke einholen; die Auswahl und Validierung externer Zertifizierungsstellen durch Cloud-Kunden fällt im Modell der geteilten Verantwortung in den Verantwortungsbereich der Cloud-Kunden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass dort, wo sie vom Cloud-Anbieter bereitgestellte Zertifizierungsstellendienste nutzen, dem ausgestellten Zertifikat angemessene Identitätsprüfungsverfahren umgesetzt werden und die vom Cloud-Dienst bereitgestellten technischen Kontrollen so konfiguriert sind, dass sie die Identitätsprüfung ermöglichen und durchsetzen. Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass dort, wo sie Zertifikate von externen Zertifizierungsstellen für ihre eigene Nutzung beschaffen, Verfahren zur Auswahl vertrauenswürdiger Zertifizierungsstellen und zur Validierung der Authentizität beschaffter Zertifikate festgelegt sind.