IAM-05 Regelmäßige Überprüfung von Zugriffsberechtigungen

Identitäten und die zugehörigen Zugriffsberechtigungen des internen und externen Personals des Cloud-Anbieters sowie von Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben, werden mindestens jährlich und bei wesentlichen Änderungen am Cloud-Dienst daraufhin überprüft, ob diese noch dem tatsächlichen Aufgaben- bzw. Einsatzgebiet entsprechen.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.

Ergänzende Informationen

Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von der Änderung betroffenen Identitäten und Zugriffsberechtigungen in die Überprüfung einbezogen werden.

Die Überprüfung erfolgt durch hierzu autorisierte Personen aus den Organisationseinheiten des Cloud-Anbieters, die aufgrund ihres Wissens über die Aufgabengebiete des Personals oder der Systemkomponenten die Angemessenheit der vergebenen Zugriffsberechtigungen beurteilen können.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.

Identifizierte Abweichungen werden zeitnah, spätestens aber sieben Tage nach ihrer Feststellung durch geeignetes Ändern oder Entziehen der Zugriffsberechtigungen behandelt.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.

Beim Entziehen von Identitäten stellt das System sicher, dass alle produktionszugehörigen Systemkomponenten (z. B. virtuelle Maschinen, Speicher, Zugriffsberechtigungen) identifiziert, neu zugewiesen oder gelöscht werden, um die Entstehung verwaister Ressourcen zu verhindern. Klare Prozesse und technische Kontrollen werden eingerichtet, um trotz präventiver Maßnahmen auftretende verwaiste Ressourcen zu identifizieren und zu behandeln und ihre rechtzeitige Neuzuweisung oder sichere Löschung sicherzustellen.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.

Für Systemkomponenten, die nicht produktionszugehörig sind, entwirft, implementiert und pflegt der Cloud-Anbieter auf der Grundlage einer Risikobeurteilung (vgl. OIS-07) angemessene Kontrollen zur Verhinderung verwaister Ressourcen.

Ergänzende Informationen

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.

Ergänzende Informationen

Die hier gemeinten Systemkomponenten sind Systemkomponenten in Entwicklungs-, Test- oder anderen nicht-produktiven Umgebungen. Verwaiste Ressourcen sind Systemkomponenten, denen kein Eigentümer zugewiesen ist.

Privilegierte Zugriffsberechtigungen werden mindestens alle sechs Monate sowie bei wesentlichen Änderungen am Cloud-Dienst überprüft.

Ergänzende Informationen

Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von der Änderung betroffenen Identitäten und Zugriffsberechtigungen in die Überprüfung einbezogen werden.