IAM-01.02B

Zum Zweck der geschäftlichen und sicherheitsbezogenen Anforderungen behandeln diese Dokumente mindestens die folgenden Aspekte:

1. Aspekte, die für Zugriffskontrollentscheidungen relevant sind;

2. Vergabe eindeutiger Benutzernamen;

3. Gewährung und Änderung von Identitäten und Zugriffsberechtigungen auf der Grundlage des 'Least-Privilege-Prinzips' und des 'Need-to-Know-Prinzips';

4. Anwendung eines rollenbasierten Mechanismus zur Vergabe von Zugriffsberechtigungen;

5. Definition der unterstützten Identitäts- und rollenbasierten Zugriffstypen, einschließlich einer Zuordnung von Zugriffskontrollparametern und für jeden Typ zu berücksichtigenden Rollen;

6. Funktionstrennung zwischen operativen und kontrollierenden Funktionen ('Segregation of Duties');

7. Vergabe und Überwachung privilegierter Zugriffsberechtigungen;

8. Genehmigung der Vergabe oder Änderung von Identitäten und Zugriffsberechtigungen durch autorisiertes Personal oder autorisierte Systemkomponenten bevor auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten zugegriffen werden kann;

9. Regelmäßige Überprüfung zugewiesener Identitäten und Zugriffsberechtigungen;

10. Sperrung und Entzug von Identitäten oder Beschränkung des Zugriffs bei von Inaktivität;

11. Spezifische Maßnahmen für die Verwaltung von Identitäten, deren Verwendung auf Notfallwiederherstellung und ähnliche Szenarien beschränkt ist;

12. Zeitbasierter oder anlassbezogener Entzug bzw. Anpassung von Zugriffsberechtigungen bei Veränderungen des Aufgabengebiets;

13. Multi-Faktor-Authentisierung (MFA) für Cloud-Nutzer mit privilegierten Zugriffsberechtigungen;

14. Remote-Zugriff und Zugriff über geografische Grenzen hinweg;

15. Anforderungen an die Genehmigung und Dokumentation der Verwaltung von Identitäten und Zugriffsberechtigungen; und

16. Maßnahmen, die beim Erkennen einer potenziellen Kompromittierung einer Identität zu ergreifen sind, wie etwa das Deaktivieren und der Entzug der betroffenen Identitäten.

Ergänzende Informationen

Systemkomponenten im Sinne des Kriteriums sind in OPS-26 definiert. Automatisierte Autorisierungsprozesse im Sinne dieses Basiskriterium betreffen Verfahren zur automatisierten Softwareauslieferung (Continuous Delivery) sowie zum automatisierten Provisionieren und Deprovisionieren von Identitäten und Zugriffsberechtigungen auf Basis genehmigter Anträge.

Für Container sollten Identitäten und Zugriffsberechtigungen nach einem geregelten Prozess verwaltet werden, insbesondere für automatisierte Autorisierungsprozesse in Container-Umgebungen.

Wenn ein Cloud-Anbieter alternative Zugriffsmethoden verwendet, bei denen es nicht möglich oder praktikabel ist, Identitäten zu sperren und zu entziehen (wie zeitlich begrenzte Zugriffsmethoden), ist die Beschränkung des Zugriffs auf eine Identität eine weitere Lösung für den Umgang mit Inaktivität, die dieses Unterkriterium erfüllt.

Ergänzende Informationen

Anforderungen an die physische Zutrittskontrolle gemäß der Richtlinie für Identitäten und Zugriffsberechtigungen werden in der Richtlinie zur physischen Zutrittskontrolle (vgl. PS-04) näher spezifiziert.

Wenn der Cloud-Anbieter föderierte Identitätsdienste anbietet, insbesondere wenn der Cloud-Anbieter diese Dienste als Cloud-Vermittler anbietet, sollten die in diesen Unterkriterien definierten Dokumente die Komplexität der jeweiligen Cloud-Dienstarchitektur berücksichtigen. Dies kann unter anderem die folgenden Aspekte umfassen:

1. Verwaltung der Trust Boundaries zwischen den verschiedenen Parteien, die am Authentisierungsprozess einer föderierten Identität beteiligt sind;

2. Weitergabe identitätsverwaltungsbezogener Ereignisse über alle Parteien hinweg, die am Authentisierungsprozess einer föderierten Identität beteiligt sind;

3. Protokollierung von Ereignissen im Zusammenhang mit dem Authentisierungsprozess einer föderierten Identität; und

4. Benachrichtigung von Cloud-Kunden im Fall, dass eine Föderationsberechtigung kompromittiert oder eine Trust Boundary verletzt wird.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

3. Zugehörige Regulierungen

Verknüpfte Vorgänge

• BSI -

  Copyright by Bundesamt für Sicherheit in der Informationstechnik (https://www.bsi.bund.de/)