+IAM-07.03AC

IAM-07.03AC

Falls der durchgeführte Zugriff beaufsichtigt wird, stellt der Cloud-Anbieter sicher, dass:

1. Die Mechanismen, die zur Durchführung des beaufsichtigten Zugriffs verwendet werden, es dem beaufsichtigenden Personal erlauben, einzelne Aktionen der beaufsichtigten Person zu genehmigen oder abzulehnen und in Echtzeit Erklärungen zu verlangen;

2. Alle Zugriffsberechtigungen, die im Rahmen des beaufsichtigten Zugriffs gewährt werden, am Ende des Vorgangs widerrufen werden;

3. Alle Vorgänge, die im Rahmen des beaufsichtigten Zugriffs durchgeführt werden, als Administrationsaktionen protokolliert werden;

4. Die beaufsichtigte Person und das Gerät, das zur Durchführung des beaufsichtigten Zugriffs verwendet wird, durch die Aufsichtslösung authentisiert werden;

5. Die Vorgänge, die die beaufsichtigte Person vorschlägt, und die Handlungen des beaufsichtigenden Personals von der Aufsichtslösung protokolliert werden, einschließlich Vorgängen, die abgelehnt wurden; und

6. Informationsflüsse in Richtung des Geräts der beaufsichtigten Person durch die Aufsichtslösung verhindert werden.

Ergänzende Informationen

Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.

Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.

Ergänzende Informationen

Der Cloud-Anbieter sollte Details dazu, wie der beaufsichtigte Zugriff durchgeführt wird, für Cloud-Kunden zugänglich machen.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen

3. Zugehörige Regulierungen

Regulierungen

Verknüpfte Vorgänge

Verknüpfungen
is blocked by Audit Trails
is blocked by Account Management
is blocked by Privileged Command Execution
is blocked by Identification & Authentication for Organizational Users
is blocked by Identification & Authentication for Devices
is blocked by Account Management
is blocked by Data Flow Enforcement – Access Control Lists (ACLs)