IAM-07.03AS
Zugriffe auf Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten durch internes oder externes Personal des Cloud-Anbieters bedürfen der vorherigen Zustimmung durch autorisiertes Personal des Cloud-Kunden, soweit die Daten des Cloud-Kunden in unverschlüsselter Form zugänglich sind oder die vertraglichen Vereinbarungen eine solche Zustimmung nicht explizit ausschließen. Wenn verschlüsselte Daten und ihr Entschlüsselungsschlüssel innerhalb derselben Cloud-Umgebung getrennt gespeichert werden, ist außerdem eine vorherige Zustimmung nicht nur für den Zugriff auf den Entschlüsselungsschlüssel erforderlich, sondern auch für den Zugriff auf die verschlüsselten Daten selbst (möglicherweise zusammen mit dem Schlüssel). Ergänzende Informationen Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist. Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
1. Übersicht
1.1 Referenzen
1.2 Identifizierte Anforderungen
1.3 Zugehörige Regulierungen
2. Identifizierte Anforderungen
Anforderungen
| Quelle |
Anforderung |
3. Zugehörige Regulierungen
Regulierungen
| Quelle |
Regulierung |
Verknüpfte Vorgänge
|