IAM-03 Risikobasiertes Verfahren zur Sperrung und zum Entzug von Identitäten

Der Cloud-Anbieter verfügt über ein risikobasiertes Verfahren zur Verwaltung von Identitäten (vgl. IAM-01), unter Berücksichtigung der Arten von Daten, auf die über die Identitäten des internen und externen Personals zugegriffen werden können.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Im Rahmen dieses Verfahrens werden spezifische Parameter für das automatische Sperren und Entziehen von Zugriffen aufgrund von Inaktivität oder Hinweisen auf Brute-Force-Angriffe definiert, mit Ausnahmen für Identitäten, deren Verwendung auf Notfallwiederherstellung und ähnliche Szenarien beschränkt ist.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Ergänzende Informationen

Eine Sperrung kann aus einer längeren Abwesenheit des Personals resultieren, zum Beispiel aufgrund von Krankheit, Elternzeit oder Sabbatical. Mehrere fehlgeschlagene Anmeldeversuche können Hinweise auf Brute-Force-Angriffe sein.

Der Cloud-Anbieter dokumentiert und implementiert einen Prozess zur Überwachung gestohlener und kompromittierter Anmeldeinformationen, der auch die Deaktivierung jeder Identität umfasst, für die ein Problem festgestellt wird. Dieser Prozess wird für alle Identitäten im Verantwortungsbereich des Cloud-Anbieters umgesetzt, die privilegierte Zugriffsberechtigungen haben.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Ergänzende Informationen

Dieser Prozess kann automatisch oder manuell durch autorisiertes Personal durchgeführt werden.

Der vorgenannte Prozess umfasst einen Ausnahmemechanismus, der angewendet wird, wenn alle Identitäten, die zur Bewältigung der Situation benötigt werden, potenziell kompromittiert sind.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Ergänzende Informationen

Dieser Ausnahmemechanismus sollte als Teil des Systems für Business Continuity und Notfallmanagement (vgl. BCM-01) umgesetzt werden, da Fälle, in denen alle Identitäten, die zur Bewältigung der in IAM-03.03B beschriebenen Situation benötigt werden, potenziell kompromittiert sind, einen Notfall oder Krise darstellen können.

Der Kontext von Authentisierungsversuchen wird überwacht und verdächtige Ereignisse werden, soweit relevant, autorisierten Personen gemeldet.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Ergänzende Informationen

Der Kontext eines Authentisierungsversuchs kann, muss aber nicht, IP-Adressen, das Datum und die Uhrzeit oder das verwendete Gerät umfassen.

Die Wirksamkeit der Verfahren zur Sperrung und zum Entzug von Identitäten wird validiert.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Zeitnahe und angemessene Abhilfemaßnahmen beheben alle bei der Validierung festgestellten Abweichungen.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Der Cloud-Anbieter dokumentiert und implementiert einen Prozess zur Überwachung gestohlener und kompromittierter Anmeldeinformationen, der auch die Deaktivierung jeder Identität umfasst, für die ein Problem festgestellt wird. Dieser Prozess wird für alle Identitäten im Verantwortungsbereich des Cloud-Anbieters umgesetzt.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Ergänzende Informationen

Dieser Prozess kann automatisch oder manuell durch autorisiertes Personal durchgeführt werden.