OIS-03 Schnittstellen und Abhängigkeiten

Der Cloud-Anbieter etabliert, dokumentiert und kommuniziert ein Modell geteilter Sicherheitsverantwortung (engl. Shared Security Responsibility Model; SSRM), um Schnittstellen und Abhängigkeiten zwischen den vom Cloud-Anbieter ausgeführten Aktivitäten zur Erbringung des Cloud-Dienstes und den von den Cloud-Kunden ausgeführten Aktivitäten zu definieren und zu steuern.

Ergänzende Informationen

Dritte im Sinne dieses Basiskriteriums sind z. B. Cloud-Kunden und Service-Organisationen (einschließlich Cloud-Vermittler).

Ein SSRM bietet einen konsolidierten Überblick über die wichtigsten Schnittstellen und Abhängigkeiten zwischen dem Cloud-Anbieter und Dritten. Detaillierte Informationen zu Schnittstellen und Abhängigkeiten können in separaten Dokumenten festgelegt werden, auf die im SSRM verwiesen wird, wie z. B. Leitlinien und Verfahren. So sollten beispielsweise Mitwirkungspflichten der Cloud-Kunden in Leistungsbeschreibungen und Verträgen beschrieben werden.

Der Cloud-Anbieter kann das zugrunde liegende Shared Security Responsibility Model seines Cloud-Dienstes in Leitlinien und Verfahren darstellen, um den Cloud-Kunden zu helfen, ihre Rollen und Verantwortlichkeiten in Bezug auf Sicherheit und Betriebsmanagement zu verstehen.

Wenn Cloud-Dienste über einen Cloud-Vermittler erbracht werden, sollte das SSRM die Verantwortlichkeiten zwischen dem Cloud-Anbieter, dem Cloud-Vermittler und dem Cloud-Kunden klar abgrenzen, insbesondere:

1. Dateneigentum und Grenzen der Verarbeitung;

2. Umsetzung von Sicherheitskontrollen durch die jeweiligen Parteien;

3. Wege für die Benachrichtigung und Eskalation bei Vorfällen; und

4. Umfang der Compliance-Bescheinigung.

Ergänzende Informationen

Der Cloud-Anbieter kann die im Basiskriterium beschriebenen Schnittstellen und Abhängigkeiten in Leitlinien und Verfahren definieren und dokumentieren. So sollten beispielsweise Mitwirkungspflichten der Cloud-Kunden in Leistungsbeschreibungen und Verträgen (oder deren Anhängen) beschrieben werden.

Der Cloud-Anbieter kann bestehende Dokumentation, wie Leitlinien, vertragliche Vereinbarungen oder Verfahren, nutzen, um das zugrunde liegende Shared Responsibility Model seines Cloud-Dienstes darzustellen und damit die Sicherheits- und Betriebsverantwortlichkeiten der Cloud-Kunden zu verdeutlichen.

Die SSRM-Dokumentation definiert klar die Verantwortlichkeiten zwischen beiden Parteien für den Umgang mit Schwachstellen, Sicherheitsvorfällen und Vorfällen. Art und Umfang der Dokumentation richten sich nach dem Informationsbedarf der Fachexperten der betroffenen Organisationen, um die Aktivitäten angemessen durchführen zu können (z. B. Definition von Rollen und Verantwortlichkeiten in Richtlinien, Beschreibung von Mitwirkungspflichten in Leistungsbeschreibungen und Verträgen).

Ergänzende Informationen

Der Cloud-Anbieter kann die im Basiskriterium beschriebenen Schnittstellen und Abhängigkeiten in Leitlinien und Verfahren definieren und dokumentieren. So sollten beispielsweise Mitwirkungspflichten der Cloud-Kunden in Leistungsbeschreibungen und Verträgen (oder deren Anhängen) beschrieben werden.

Der Cloud-Anbieter kann bestehende Dokumentation, wie Leitlinien, vertragliche Vereinbarungen oder Verfahren, nutzen, um das zugrunde liegende Shared Responsibility Model seines Cloud-Dienstes darzustellen und damit die Sicherheits- und Betriebsverantwortlichkeiten der Cloud-Kunden zu verdeutlichen.

Der Cloud-Anbieter überprüft und validiert die SSRM-Dokumentation regelmäßig gemäß SP-02, um ihre Genauigkeit und Relevanz für alle Angebote des Cloud-Dienstes sicherzustellen.

Ergänzende Informationen

Der Cloud-Anbieter kann die im Basiskriterium beschriebenen Schnittstellen und Abhängigkeiten in Leitlinien und Verfahren definieren und dokumentieren. So sollten beispielsweise Mitwirkungspflichten der Cloud-Kunden in Leistungsbeschreibungen und Verträgen (oder deren Anhängen) beschrieben werden.

Der Cloud-Anbieter kann bestehende Dokumentation, wie Leitlinien, vertragliche Vereinbarungen oder Verfahren, nutzen, um das zugrunde liegende Shared Responsibility Model seines Cloud-Dienstes darzustellen und damit die Sicherheits- und Betriebsverantwortlichkeiten der Cloud-Kunden zu verdeutlichen.

Ergänzende Informationen

Durch die Pflege eines aktuellen und klar kommunizierten SSRM stellt der Cloud-Anbieter ein umfassendes Verständnis der Sicherheitsverantwortlichkeiten sicher und fördert so eine sichere und verlässliche Cloud-Umgebung für alle Beteiligten.

Der Cloud-Anbieter implementiert, betreibt und überprüft die SSRM-Komponenten, für die er verantwortlich ist, und stellt die Einhaltung der definierten Sicherheitsmaßnahmen sicher.

Ergänzende Informationen

Der Cloud-Anbieter kann die im Basiskriterium beschriebenen Schnittstellen und Abhängigkeiten in Leitlinien und Verfahren definieren und dokumentieren. So sollten beispielsweise Mitwirkungspflichten der Cloud-Kunden in Leistungsbeschreibungen und Verträgen (oder deren Anhängen) beschrieben werden.

Der Cloud-Anbieter kann bestehende Dokumentation, wie Leitlinien, vertragliche Vereinbarungen oder Verfahren, nutzen, um das zugrunde liegende Shared Responsibility Model seines Cloud-Dienstes darzustellen und damit die Sicherheits- und Betriebsverantwortlichkeiten der Cloud-Kunden zu verdeutlichen.

Die Kommunikation von Änderungen am SSRM, an Schnittstellen und an Abhängigkeiten erfolgt zeitnah, damit die betroffenen Organisationen und Dritten vor Inkrafttreten der Änderungen angemessen mit organisatorischen und technischen Maßnahmen reagieren können.

Ergänzende Informationen

Der Cloud-Anbieter kann die im Basiskriterium beschriebenen Schnittstellen und Abhängigkeiten in Leitlinien und Verfahren definieren und dokumentieren. So sollten beispielsweise Mitwirkungspflichten der Cloud-Kunden in Leistungsbeschreibungen und Verträgen (oder deren Anhängen) beschrieben werden.

Der Cloud-Anbieter kann bestehende Dokumentation, wie Leitlinien, vertragliche Vereinbarungen oder Verfahren, nutzen, um das zugrunde liegende Shared Responsibility Model seines Cloud-Dienstes darzustellen und damit die Sicherheits- und Betriebsverantwortlichkeiten der Cloud-Kunden zu verdeutlichen.

Ergänzende Informationen

Durch die Pflege eines aktuellen und klar kommunizierten SSRM stellt der Cloud-Anbieter ein umfassendes Verständnis der Sicherheitsverantwortlichkeiten sicher und fördert so eine sichere und verlässliche Cloud-Umgebung für alle Beteiligten.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Leitlinien und Anforderungen zur Einhaltung der vertraglichen Vereinbarungen mit dem Cloud-Anbieter (d. h. Verantwortlichkeiten, Mitwirkungspflichten und Schnittstellen für die Meldung von Sicherheitsvorfällen) angemessen definiert, dokumentiert und eingerichtet sind.