|
Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen für das Änderungsmanagement von Systemkomponenten des Cloud-Dienstes im Rahmen der Software-Bereitstellung sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt: 1. Kriterien zur Risikobeurteilung, Kategorisierung und Priorisierung von Änderungen und damit verbundene Anforderungen an Art und Umfang durchzuführender Tests sowie erforderliche Freigaben für die Entwicklung/Implementierung der Änderung sowie der Freigaben zur Bereitstellung in der Produktionsumgebung durch autorisiertes Personal oder Systemkomponenten; 2. Anforderungen an die Durchführung und Dokumentation von Tests; 3. Anforderungen an die Funktionstrennung während Entwicklung, Test und Freigabe von Änderungen; 4. Anforderungen zur sachgerechten Information der Cloud-Kunden über Art und Umfang der Änderung sowie daraus resultierende Mitwirkungspflichten gemäß den vertraglichen Vereinbarungen; 5. Anforderungen an die Dokumentation von Änderungen in der System-, Betriebs- und Benutzerdokumentation; 6. Anforderungen an die Umsetzung und Dokumentation von Notfalländerungen, sodass sie - soweit vernünftigerweise möglich - dem gleichen Sicherheitsniveau wie normale Änderungen entsprechen; 7. Anforderungen an den Umgang mit unerwarteten Auswirkungen dieser Änderungen, einschließlich Korrekturmaßnahmen; 8. Anforderungen an verstärkte Tests für die Entwicklung von Sicherheitsfunktionen, die technische Mechanismen und Schutzmaßnahmen implementieren; und 9. Anforderungen an die Handhabung von Ausnahmen, einschließlich Notfalländerungen, um sicherzustellen, dass damit verbundene Risiken angemessen gemindert werden. Ergänzende Informationen Änderungen im Sinne des Basiskriteriums sind solche, die zu Änderungen an der Konfiguration, Funktionalität oder Sicherheit von Systemkomponenten des Cloud-Dienstes in der Produktionsumgebung führen können. Dies umfasst sowohl Änderungen an der Infrastruktur als auch am Quellcode. Soweit einzelne Änderungen zur Software-Bereitstellung in einem neuen Release, Update, Patch oder einem vergleichbaren Softwareobjekt zusammengefasst werden, gilt dieses Softwareobjekt als Änderung im Sinne des Basiskriteriums, nicht aber die einzelnen darin enthaltenen Änderungen. Änderungen an der bestehenden Netzkonfiguration fallen ebenfalls unter dieses Kriterium und sollten ebenfalls ein festgelegtes Verfahren durchlaufen, da sie für eine wirksame Trennung der Cloud-Kunden erforderlich sind. Änderungen an den Containerumgebungen, einschließlich des Managements von Container-Images und -Versionen, sollten ebenfalls einen geregelten Prozess durchlaufen. Personal oder Systemkomponenten werden gemäß den Vorgaben für Zugangs- und Zugriffsberechtigungen (vgl. IAM-01) im Rahmen eines geregelten Verfahrens (vgl. IAM-02) für Genehmigungen und Freigaben autorisiert. Die Mitwirkungspflichten des Cloud-Kunden können festlegen, dass z. B. der Cloud-Kunde bestimmte Tests durchführen muss. Ein zentralisierter Änderungsmanagementprozess ist nicht verpflichtend. Der Cloud-Anbieter hat die Flexibilität, Änderungsmanagementverfahren anzuwenden, die am besten zu seinen betrieblichen Anforderungen passen, einschließlich agiler Methoden, solange sie die Verfahren und technischen Schutzmaßnahmen einhalten.
|