|
+IAM-07.02AC |
IAM-07.02ACUm direkt oder indirekt auf Cloud-Kundendaten zugreifen zu können, muss jegliches internes oder externes Personal des Cloud-Anbieters eine angemessene Überprüfung bestanden haben oder andernfalls durch Personal beaufsichtigt werden, das eine angemessene Überprüfung bestanden hat (vgl. HR-01). Der Cloud-Anbieter verifiziert, dass eine dieser Bedingungen erfüllt ist, bevor der Zugriff gewährt wird. Dies gilt auch für Supporttätigkeiten. Ergänzende Informationen Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist. Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden. Ergänzende Informationen Der Cloud-Anbieter sollte Details dazu, wie der beaufsichtigte Zugriff durchgeführt wird, für Cloud-Kunden zugänglich machen. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|