IAM-09 Vertraulichkeit von Authentisierungsinformationen

Die Zuweisung von Authentisierungsinformationen für den Zugriff auf Systemkomponenten, die zur Bereitstellung des Cloud-Dienstes für interne und externe Cloud-Nutzer des Cloud-Anbieters sowie für Systemkomponenten verwendet werden, die an automatisierten Autorisierungsprozessen des Cloud-Anbieters beteiligt sind, erfolgt in geordneter Weise, die die Vertraulichkeit der Informationen sicherstellt.

Ergänzende Informationen

Authentisierungsinformationen im Sinne des Basiskriteriums sind Cloud-Anbieterdaten.

Authentisierungsnachweise werden mit einem Sicherheitsniveau verwaltet, das der Klassifizierung der Systemkomponente, die sie schützen, entspricht oder diese übertrifft.

Ergänzende Informationen

Authentisierungsinformationen im Sinne des Basiskriteriums sind Cloud-Anbieterdaten.

Soweit Passwörter als Authentisierungsinformationen eingesetzt werden, ist deren Vertraulichkeit durch folgende Verfahren sichergestellt, soweit dies technisch möglich ist:

1. Cloud-Nutzer können das Passwort initial selbst erstellen oder müssen ein initial vorgegebenes Passwort bei der ersten Anmeldung an der Systemkomponente ändern. Ein initial vorgegebenes Passwort verliert nach maximal 14 Tagen seine Gültigkeit;

2. Beim Erstellen von Passwörtern wird das Einhalten der Authentisierungsrichtlinie (vgl. IAM-08) erzwungen, soweit dies technisch möglich ist;

3. Der Cloud-Nutzer wird über das Ändern oder Zurücksetzen des Passworts informiert; und

4. Die serverseitige Speicherung erfolgt unter Verwendung kryptographischer Hashfunktionen nach dem Stand der Technik, mit Ausnahme von Passwörtern, die zur späteren Verwendung in Klartextform gespeichert werden, beispielsweise in einem Passwortmanager. In diesem Fall werden kryptographische Mechanismen nach dem Stand der Technik verwendet, um die Passwörter zu schützen.

Ergänzende Informationen

Authentisierungsinformationen im Sinne des Basiskriteriums sind Cloud-Anbieterdaten.

Abweichungen werden mittels einer Risikobeurteilung gemäß OIS-07 bewertet und daraus abgeleitete mindernde Maßnahmen werden umgesetzt.

Regeln und Empfehlungen für die Verwaltung von Anmeldeinformationen in Übereinstimmung mit der Authentisierungsrichtlinie (vgl. IAM-08) werden dokumentiert, kommuniziert und allen Cloud-Nutzern im Verantwortungsbereich des Cloud-Anbieters zur Verfügung gestellt. Sie umfassen Empfehlungen zu Passwortmanagern und Empfehlungen, um insbesondere klassische Angriffe wie Phishing, Social Attacks und Whaling zu adressieren.

Verwendete kryptographische Mechanismen entsprechen den Richtlinien und Anweisungen für kryptographische Mechanismen (vgl. CRY-01).

Passwort-Zurücksetzungsverfahren sind höchstens 24 Stunden gültig. Nachdem das Zurücksetzungsverfahren verwendet wurde, ist das Passwort durch den Cloud-Nutzer zu ändern.

Ergänzende Informationen

Dieses Unterkriterium ist nur auf passwortbasierte Authentisierungsschemata anwendbar.

Die Cloud-Nutzer bestätigen in einer Erklärung, dass sie persönliche (bzw. geteilte) Authentisierungsinformationen vertraulich behandeln und ausschließlich für sich (bzw. innerhalb der Gruppe) behalten.

Ergänzende Informationen

Authentisierungsinformationen im Sinne des Basiskriteriums sind Cloud-Anbieterdaten.

Ergänzende Informationen

Soweit dies rechtsverbindlich ist, können Erklärungen unter Verwendung einer elektronischen Signatur unterzeichnet werden.