OIS-04.01B

Miteinander in Konflikt stehende Aufgaben und Verantwortlichkeitsbereiche sind auf Basis einer Risikobeurteilung gemäß OIS-07 getrennt, um Risiken unbefugter oder unbeabsichtigter Änderungen oder Missbrauch von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und Cloud-Anbieterdaten zu reduzieren. Die Risikobeurteilung umfasst folgende Bereiche, soweit diese zur Bereitstellung des Cloud-Dienstes anwendbar sind und im Verantwortungsbereich des Cloud-Anbieters liegen:

1. Verwaltung eines Rollen-, Rechte- und Berechtigungsrahmenwerks auf Grundlage einer rollenbasierten Zugriffskontrolle und denr geschäftlichen sowie sicherheitsbezogenen Anforderungen des Cloud-Anbieters (vgl. IAM-01);

2. Entwicklung, Test und Freigabe von Änderungen (vgl. DEV-01);

3. Risikomanagement (vgl. OIS-07); und

4. Betrieb der Systemkomponenten.

Ergänzende Informationen

Identifizierte Ereignisse, die unbefugte oder unbeabsichtigte Änderungen an oder den Missbrauch von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und Cloud-Anbieterdaten darstellen können, können beispielsweise als Sicherheitsvorfall behandelt werden, vgl. SIM-01.

Der Bereich des Risikomanagements im Kontext der Funktionstrennung bezieht sich auf die sogenannten unterschiedlichen Verteidigungslinien, d. h. Rollen, die Risiken überprüfen (2. Verteidigungslinie), unterscheiden sich von Rollen, die Risiken verantworten (1. Verteidigungslinie).

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

3. Zugehörige Regulierungen

Verknüpfte Vorgänge

• BSI -

  Copyright by Bundesamt für Sicherheit in der Informationstechnik (https://www.bsi.bund.de/)