OIS-08 Anwendung der Richtlinie für Risikomanagement - Risikobeurteilung

Der Cloud-Anbieter führt den in OIS-07 definierten Risikomanagementprozess anlassbezogen und mindestens jährlich durch.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.

Ergänzende Informationen

Beispiele für Szenarien, in denen der Risikomanagementprozess 'anlassbezogen' durchgeführt werden kann, umfassen unter anderem die folgenden:

1. Änderungen der Bedrohungslandschaft (vgl. OIS-05);

2. Sicherheitsvorfälle oder Geschäftsunterbrechungen;

3. Änderungen der rechtlichen, regulatorischen, selbst auferlegten und vertraglichen Anforderungen an den Cloud-Anbieter, die für die Informationssicherheit des Cloud-Dienstes relevant sind (vgl. COM-01);

4. Änderungen der Organisationsstruktur des Cloud-Anbieters mit Auswirkungen auf Rollen, Verantwortlichkeiten oder Verfahren für die Bereitstellung des Cloud-Dienstes;

5. Änderungen der Architektur des Cloud-Dienstes (vgl. OPS-31);

6. Ereignisse im Zusammenhang mit Service-Organisationen des Cloud-Anbieters (vgl. SSO-05);

7. Ausnahmen von Richtlinien oder Verfahren (vgl. SP-03); und

8. Identifizierung kritischer Schwachstellen (vgl. OPS-22) oder Compliance-Abweichungen (vgl. COM-03).

Beim Identifizieren von Risiken werden folgende Aspekte berücksichtigt, soweit diese für den bereitgestellten Cloud-Dienst anwendbar sind und im Verantwortungsbereich des Cloud-Anbieters liegen:

1. Verarbeitung, Speicherung oder Übertragung von Cloud-Kundendaten und von abgeleiteten Cloud-Dienstdaten mit unterschiedlichen Schutzbedarfen;

2. Auftreten von Schwachstellen und Vorfällen in technischen Schutzmaßnahmen zur Trennung gemeinsam genutzter Ressourcen;

3. Angriffe über Zugangspunkte, einschließlich Schnittstellen, die aus öffentlichen Netzen zugänglich sind, und versehentlich offengelegte Schnittstellen;

4. Abhängigkeiten von Service-Organisationen;

5. Ein Risiko-Programm für Verschlüsselung und Schlüsselmanagement, das die Risiken der unbefugten Offenlegung, Veränderung, Zerstörung oder des Informationsverlusts kryptographischer Schlüssel adressiert; und

6. Trennung der Cloud-Kunden und ihrer Daten innerhalb von Systemen, Netzen und Speichern.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.

Ergänzende Informationen

Gemeinsam genutzte Ressourcen sind z. B. Netze, RAM oder Speicher.

Bei der Bestimmung des Schutzbedarfs von Cloud-Kundendaten und abgeleiteten Cloud-Dienstdaten sollten die für diese Datentypen geltende regulatorische Anforderungen berücksichtigt werden, wie z. B. PCI-DSS, HIPAA, DORA (Verordnung über digitale operationale Resilienz für den Finanzsektor und zur Änderung von Verordnungen), NIS-2-Richtlinie und KRITIS.

Richtlinien und Verfahren, die für die Erbringung und den Betrieb des Cloud-Dienstes relevante Risikobeurteilungen abdecken, werden vom Cloud-Anbieter umgesetzt.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.

Die Ergebnisse der Risikobeurteilung werden relevanten internen Parteien bereitgestellt.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.

Ergänzende Informationen

Relevante interne Parteien können die Geschäftsleitung und die Sicherheitsteams des Cloud-Anbieters umfassen.

Relevanten externen Parteien werden Informationen aus den Risikobeurteilungen bereitgestellt, die auf die Zwecke der Parteien zugeschnitten sind.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.

Ergänzende Informationen

Relevante externe Parteien können Cloud-Kunden, Subservice-Organisationen und Regulierungsbehörden umfassen.

Informationen, die in diesem Kontext relevant sein können, umfassen Informationen über identifizierte Schwachstellen, Sicherheitsvorfälle und Bedrohungsinformationen.

Der Cloud-Anbieter kann sich dafür entscheiden, diese Informationen über sein SSRM (vgl. OIS-03), seine Dokumentation und Richtlinien (vgl. PSS-01) oder seine Prozesse zur Information der Cloud-Kunden über bekannte Schwachstellen (vgl. PSS-03) zugänglich zu machen.

Die Analyse, Bewertung und Behandlung von Risiken, einschließlich der Genehmigung von Maßnahmen und der Akzeptanz von Restrisiken, wird von den Risikoeigentümern mindestens jährlich auf Angemessenheit überprüft. Zusätzlich wird bei wesentlichen Änderungen am Cloud-Dienst eine Überprüfung durchgeführt, die sich auf die für die Änderung relevanten Teile der Risikobeurteilung konzentriert.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.

Der Cloud-Anbieter integriert Cybersicherheitsrisiken in ein dokumentiertes Enterprise Risk Management (ERM)-Programm, das die folgenden Aspekte adressiert:

1. Integration von Informationssicherheitsrisiken auf Unternehmensebene, um ein Bewusstsein für Informationssicherheitsrisiken in der gesamten Organisation zu fördern;

2. Bewusstsein der Führungsebene und Unterstützung bei Identifizierung, Analyse und Behandlung von Informationssicherheitsrisiken, um kontinuierliche Verbesserung zu fördern; und

3. Berücksichtigung der strategischen Ziele des Cloud-Anbieters beim Management von Risiken, um die Risikobehandlung an den Zielen der Organisation auszurichten.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.

Bei der Identifizierung von Risiken berücksichtigt der Cloud-Anbieter zusätzlich die Erkennung ungewöhnlicher und schädlicher Handlungen interner Bedrohungsakteure, soweit dies auf den bereitgestellten Cloud-Dienst anwendbar ist und im Verantwortungsbereich des Cloud-Anbieters liegt.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.

Der Cloud-Anbieter führt den in OIS-07 definierten Risikomanagementprozess anlassbezogen und mindestens jährlich durch. Die Entwicklung der Risiken wird überwacht und die Risikobeurteilungen werden entsprechend überprüft.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.