|
+DEV-02.02B |
DEV-02.02BBevor die Entwicklung des Cloud-Dienstes oder von dessen Komponenten ausgelagert wird, führt der Cloud-Anbieter eine Risikobeurteilung gemäß mindestens die folgenden Aspekte berücksichtigt: 1. Verwaltung des Quellcodes durch die Service-Organisation; 2. Zugänglichkeit des Quellcodes für den Cloud-Anbieter; 3. Von der Service-Organisation implementierte Personalverfahren; 4. Erforderlicher Zugang zu den Entwicklungs-, Test- und Vorproduktionsumgebungen des Cloud-Anbieters; und 5. Management von Unterauftragnehmern, die von der Service-Organisation eingesetzt werden. Ergänzende Informationen Ausgelagerte Entwicklung im Sinne des Basiskriteriums bezieht sich auf die Entwicklung von Systemkomponenten, die dediziert für den Cloud-Dienst verwendet werden, durch eine Service-Organisation des Cloud-Anbieters. Die Entwicklung erfolgt nach den Prozessen der Service-Organisation. Die Risiken, die entstehen könnten und berücksichtigt werden sollten, können, müssen aber nicht, die folgenden umfassen: 1. Risiken, die daraus resultieren können, dass die Service-Organisation den Quellcode ohne angemessene Kontrollen verwaltet, einschließlich unbefugter Änderungen, unzureichender Versionskontrolle oder unzureichenden Schutzes vor Verlust oder Diebstahl geistigen Eigentums; 2. Risiken, die daraus resultieren können, dass die Service-Organisation dem Cloud-Anbieter oder Drittprüfern Zugang zum Quellcode gewährt, einschließlich unbefugter Offenlegung, Verlust der Vertraulichkeit oder unzureichender Kontrollen darüber, wie ein solcher Zugang verwaltet und beschränkt wird; 3. Risiken, die aus unzureichender Personalüberprüfung, unzureichenden Hintergrundprüfungen, mangelnder Schulung zum Sicherheitsbewusstsein oder hoher Personalfluktuation innerhalb der Service-Organisation resultieren können, einschließlich Insider-Bedrohungen oder unkontrolliertem Verlust sensiblen Wissens; 4. Risiken, die daraus resultieren können, dass der Service-Organisation Zugang zu internen Entwicklungs-, Test- oder Vorproduktionsumgebungen gewährt wird, einschließlich übermäßiger Berechtigungen, unzureichender Zugriffskontrollen oder unzureichender Protokollierung und Überwachung eines solchen Zugangs; und 5. Risiken, die daraus resultieren können, dass die Service-Organisation Teile der Leistung ohne angemessene Sicherheitskontrollen an Unterauftragnehmer vergibt, einschließlich unzureichender vertraglicher Sicherheitsanforderungen an Unterauftragnehmer oder mangelnder Transparenz hinsichtlich der Zusammensetzung der Lieferkette. Der Erwerb von auf dem Markt verfügbarer Software sowie die Integration externen Personals in die Prozesse des Cloud-Anbieters stellen keine Auslagerung im Sinne dieses Basiskriteriums dar. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|