DEV-07 Testen von Änderungen

Änderungen am Cloud-Dienst werden während der Software-Entwicklung und -Bereitstellung gemäß dokumentierten Testverfahren angemessenen Tests unterzogen.

Ergänzende Informationen

Es sollten Tests verwendet werden, die sowohl zur Qualitätssicherung der Softwareentwicklung als auch zur Sicherheit des Cloud-Dienstes beitragen.

Die in Tests identifizierten Fehler und Schwachstellen können beispielsweise nach dem Common Vulnerability Scoring System (CVSS) bewertet werden.

Ergänzende Informationen

Testverfahren für Software-Assets können statisch (SAST), dynamisch (DAST) oder interaktiv (IAST) sein.

Art und Umfang der Tests entsprechen der Risikobeurteilung. Die Tests werden von angemessen qualifiziertem Personal des Cloud-Anbieters oder durch automatisierte Testverfahren durchgeführt, die dem Stand der Technik entsprechen. Cloud-Kunden werden gemäß den vertraglichen Anforderungen in die Tests einbezogen.

Bevor Cloud-Kundendaten für Tests verwendet werden, holt der Cloud-Anbieter zunächst die Genehmigung dieses Cloud-Kunden ein und anonymisiert die Cloud-Kundendaten. Der Cloud-Anbieter stellt die Vertraulichkeit der Cloud-Kundendaten während des gesamten Prozesses sicher.

Die Sicherheitsfunktionen des Cloud-Dienstes werden Tests unterzogen, die die Spezifikation der Sicherheitsfunktionen (vgl. DEV-05), einschließlich aller spezifizierten Fehlerbedingungen, vollständig abdecken. Die Dokumentation dieser Tests umfasst mindestens die folgenden Aspekte:

1. Eine Beschreibung des Tests;

2. Die Ausgangsbedingungen;

3. Das erwartete Ergebnis; und

4. Verfahren zur Durchführung des Tests.

Der Schweregrad der in den Tests identifizierten Fehlern und Schwachstellen, welche für die Abnahme relevant sind, wird nach definierten Kriterien beurteilt und Maßnahmen zur zeitnahen Behebung oder Mitigation eingeleitet.

Pre-Launch-Tests werden während der Testphase des Cloud-Dienstes gemäß dem Penetrationstest-Rahmenwerk (vgl. OPS-22 Zusatzkriterium) durchgeführt. Der Schweregrad identifizierter Schwachstellen wird nach definierten Kriterien bewertet, und Maßnahmen zur zeitnahen Behebung oder Minderung werden eingeleitet.

Ergänzende Informationen

Es sollten Tests verwendet werden, die sowohl zur Qualitätssicherung der Softwareentwicklung als auch zur Sicherheit des Cloud-Dienstes beitragen.

Die in Tests identifizierten Fehler und Schwachstellen können beispielsweise nach dem Common Vulnerability Scoring System (CVSS) bewertet werden.

Soweit Änderungen gemäß den vertraglichen Vereinbarungen vor der Bereitstellung in der Produktionsumgebung von den Cloud-Kunden getestet werden sollen, stellen die Cloud-Kunden mit geeigneten Kontrollen sicher, dass die Tests angemessen durchgeführt werden, um Fehler zu identifizieren. Dies umfasst insbesondere die zeitnahe Durchführung der Tests durch qualifiziertes Personal gemäß den vom Cloud-Anbieter festgelegten Bedingungen.