IAM-02 Vergabe und Änderung von Identitäten und Zugriffsberechtigungen

Geregelte Verfahren für die Vergabe und Änderung von Identitäten und Zugriffsberechtigungen für internes und externes Personal des Cloud-Anbieters sowie für Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben, stellen die Einhaltung der Rollen- und Rechterichtlinien sowie der Richtlinie zur Verwaltung von Identitäten und Zugriffsberechtigungen sicher.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Die vorgenannten Verfahren umfassen unter anderem:

1. Prozesse und technische Kontrollen, um den Zugriff auf die Daten und Systemfunktionen des Cloud-Anbieters auf autorisiertes Personal zu beschränken; und

2. Prozesse und technische Kontrollen zur Verwaltung und Überprüfung von Zugriffsberechtigungen innerhalb der Systeme des Cloud-Anbieters.

Falls der Cloud-Anbieter Notfallkonten für den Fall einer Nichtverfügbarkeit des Hauptverfahrens zur Authentisierung definiert, werden spezifische Anforderungen und Verfahren für die sichere Nutzung dieser Konten definiert und umgesetzt.