|
+IAM-07.04B |
IAM-07.04BSofern vertraglich nichts anderes vereinbart ist, gehen aus der Information Anlass, Zeitpunkt, Dauer, geografischer Ort, Art und Umfang des Zugriffs, sowie die Aufbewahrungsdauer anderer während des Zugriffs erzeugter Daten, wie Protokolle oder Kopien, die Cloud-Kundendaten enthalten, hervor. Die Informationen sind hinreichend detailliert, um sachverständigen Personen des Cloud-Kunden eine Risikobeurteilung des Zugriffs zu ermöglichen. Die Information erfolgt gemäß der vertraglichen Vereinbarung, spätestens aber 72 Stunden nach dem Zugriff. Ergänzende Informationen Sachverständige Personen im Sinne dieses Kriteriums sind Personen aus z. B. IT, Compliance oder Interne Revision. Ergänzende Informationen Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist. Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden. Ergänzende Informationen Der dem Cloud-Kunden bereitgestellte geografische Ort des Zugriffs muss kein GPS-Standort sein, sollte aber mindestens so präzise sein wie das Land, von dem aus der Zugriff durchgeführt wurde oder durchgeführt werden soll. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|