INQ-04 Kommunikation technischer Verfahren zur Datenoffenlegung bei behördlichen Auskunfts- und Herausgabeverlangen

Der Cloud-Anbieter dokumentiert die technischen Verfahren je Dienst und sonstige technische Informationen bezüglich der Bereitstellung oder Offenlegung von Cloud-Kundendaten als Reaktion auf gültige behördliche Auskunfts- und Herausgabeverlangen und stellt sie den Cloud-Kunden zur Verfügung.

Ergänzende Informationen

Das Kriterium ist auf Cloud-Kundendaten beschränkt. Der Cloud-Anbieter hat typischerweise Zugriff auf andere Datentypen wie abgeleitete Cloud-Dienstdaten und Kontodaten, sodass eine Ausweitung des Kriteriums auf diese anderen Datentypen möglicherweise nicht zu nützlichen Informationen für das Risikomanagement der Cloud-Kunden führt. Technische Fähigkeiten und Beschränkungen beim Zugriff auf Cloud-Kundendaten umfassen Aspekte wie:

1. Ob die Cloud-Kunden ihre Cloud-Kundendaten unverschlüsselt speichern;

2. Ob der Cloud-Anbieter Cloud-Kundendaten bei der Speicherung und Übertragung verschlüsselt;

3. Ob der Cloud-Anbieter die Fähigkeit hat, Cloud-Kundendaten im Falle solcher behördlichen Auskunfts- und Herausgabeverlangen zu entschlüsseln, und wie diese Fähigkeit zum Zugriff oder zur Offenlegung genutzt wird;

4. Aufbewahrungsfristen für abgeleitete Cloud-Dienstdaten in Bezug zum Cloud-Kunden und ob solche Daten in verschlüsselter Form gespeichert werden;

5. Möglichkeiten zur Entschlüsselung von Cloud-Kundendaten oder zur Extraktion von Cloud-Kundendaten während des Entschlüsselungsprozesses;

6. Offenlegung von Benutzeridentitäten und Anmeldedaten; und

7. Weitere Maßnahmen, die geschaffen wurden oder genutzt werden können, um Cloud-Kundendaten offenzulegen.

Art und Umfang der den Cloud-Kunden bereitgestellten Informationen richten sich nach den Bedürfnissen ihres sachverständigen Personals zur Bewertung von Risiken für die Vertraulichkeit der Cloud-Kundendaten. Mindestens werden die folgenden Aspekte behandelt:

1. Der Prozess für die Bereitstellung und Offenlegung von Cloud-Kundendaten als Reaktion auf berechtigte behördliche Auskunfts- und Herausgabeverlangen;

2. Die technischen Fähigkeiten und Beschränkungen des Cloud-Anbieters hinsichtlich der Offenlegung von Cloud-Kundendaten;

3. Protokollierungsmechanismen, die implementiert wurden, um Zugriffe für die Offenlegung von Cloud-Kundendaten aufzuzeichnen;

4. Zugriffsmöglichkeiten für Cloud-Kunden zur Einsicht in solche Protokolle;

5. Methoden und technische Verfahren je Dienst für den Zugriff auf und die Offenlegung von Cloud-Kundendaten; und

6. Gesetze, Vorschriften oder andere rechtliche Mittel und ihre Anwendbarkeit in Bezug auf die Fähigkeit des Cloud-Anbieters, seine Cloud-Kunden über die Bereitstellung und Offenlegung von Cloud-Kundendaten zu informieren.

Ergänzende Informationen

Das Kriterium ist auf Cloud-Kundendaten beschränkt. Der Cloud-Anbieter hat typischerweise Zugriff auf andere Datentypen wie abgeleitete Cloud-Dienstdaten und Kontodaten, sodass eine Ausweitung des Kriteriums auf diese anderen Datentypen möglicherweise nicht zu nützlichen Informationen für das Risikomanagement der Cloud-Kunden führt. Technische Fähigkeiten und Beschränkungen beim Zugriff auf Cloud-Kundendaten umfassen Aspekte wie:

1. Ob die Cloud-Kunden ihre Cloud-Kundendaten unverschlüsselt speichern;

2. Ob der Cloud-Anbieter Cloud-Kundendaten bei der Speicherung und Übertragung verschlüsselt;

3. Ob der Cloud-Anbieter die Fähigkeit hat, Cloud-Kundendaten im Falle solcher behördlichen Auskunfts- und Herausgabeverlangen zu entschlüsseln, und wie diese Fähigkeit zum Zugriff oder zur Offenlegung genutzt wird;

4. Aufbewahrungsfristen für abgeleitete Cloud-Dienstdaten in Bezug zum Cloud-Kunden und ob solche Daten in verschlüsselter Form gespeichert werden;

5. Möglichkeiten zur Entschlüsselung von Cloud-Kundendaten oder zur Extraktion von Cloud-Kundendaten während des Entschlüsselungsprozesses;

6. Offenlegung von Benutzeridentitäten und Anmeldedaten; und

7. Weitere Maßnahmen, die geschaffen wurden oder genutzt werden können, um Cloud-Kundendaten offenzulegen.

Das vorgenannte Dokument wird in Übereinstimmung mit SP-01 gepflegt und an den Leitlinien des Cloud-Anbieters zur Minimierung des Zugriffs auf Cloud-Kundendaten (vgl. DEV-01) ausgerichtet, um seine Relevanz und Genauigkeit für Cloud-Kunden sicherzustellen.

Ergänzende Informationen

Das Kriterium ist auf Cloud-Kundendaten beschränkt. Der Cloud-Anbieter hat typischerweise Zugriff auf andere Datentypen wie abgeleitete Cloud-Dienstdaten und Kontodaten, sodass eine Ausweitung des Kriteriums auf diese anderen Datentypen möglicherweise nicht zu nützlichen Informationen für das Risikomanagement der Cloud-Kunden führt. Technische Fähigkeiten und Beschränkungen beim Zugriff auf Cloud-Kundendaten umfassen Aspekte wie:

1. Ob die Cloud-Kunden ihre Cloud-Kundendaten unverschlüsselt speichern;

2. Ob der Cloud-Anbieter Cloud-Kundendaten bei der Speicherung und Übertragung verschlüsselt;

3. Ob der Cloud-Anbieter die Fähigkeit hat, Cloud-Kundendaten im Falle solcher behördlichen Auskunfts- und Herausgabeverlangen zu entschlüsseln, und wie diese Fähigkeit zum Zugriff oder zur Offenlegung genutzt wird;

4. Aufbewahrungsfristen für abgeleitete Cloud-Dienstdaten in Bezug zum Cloud-Kunden und ob solche Daten in verschlüsselter Form gespeichert werden;

5. Möglichkeiten zur Entschlüsselung von Cloud-Kundendaten oder zur Extraktion von Cloud-Kundendaten während des Entschlüsselungsprozesses;

6. Offenlegung von Benutzeridentitäten und Anmeldedaten; und

7. Weitere Maßnahmen, die geschaffen wurden oder genutzt werden können, um Cloud-Kundendaten offenzulegen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie eine potenzielle Offenlegung ihrer Cloud-Kundendaten minimieren. Entsprechend dem Schutzbedarf der Cloud-Kundendaten treffen die Cloud-Kunden die Entscheidung, ob der jeweilige Cloud-Dienst genutzt werden kann oder ob das Risiko einer Offenlegung zu hoch ist.