+OIS-08.02B

OIS-08.02B

Beim Identifizieren von Risiken werden folgende Aspekte berücksichtigt, soweit diese für den bereitgestellten Cloud-Dienst anwendbar sind und im Verantwortungsbereich des Cloud-Anbieters liegen:

1. Verarbeitung, Speicherung oder Übertragung von Cloud-Kundendaten und von abgeleiteten Cloud-Dienstdaten mit unterschiedlichen Schutzbedarfen;

2. Auftreten von Schwachstellen und Vorfällen in technischen Schutzmaßnahmen zur Trennung gemeinsam genutzter Ressourcen;

3. Angriffe über Zugangspunkte, einschließlich Schnittstellen, die aus öffentlichen Netzen zugänglich sind, und versehentlich offengelegte Schnittstellen;

4. Abhängigkeiten von Service-Organisationen;

5. Ein Risiko-Programm für Verschlüsselung und Schlüsselmanagement, das die Risiken der unbefugten Offenlegung, Veränderung, Zerstörung oder des Informationsverlusts kryptographischer Schlüssel adressiert; und

6. Trennung der Cloud-Kunden und ihrer Daten innerhalb von Systemen, Netzen und Speichern.

Ergänzende Informationen

Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.

Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.

Ergänzende Informationen

Gemeinsam genutzte Ressourcen sind z. B. Netze, RAM oder Speicher.

Bei der Bestimmung des Schutzbedarfs von Cloud-Kundendaten und abgeleiteten Cloud-Dienstdaten sollten die für diese Datentypen geltende regulatorische Anforderungen berücksichtigt werden, wie z. B. PCI-DSS, HIPAA, DORA (Verordnung über digitale operationale Resilienz für den Finanzsektor und zur Änderung von Verordnungen), NIS-2-Richtlinie und KRITIS.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen

3. Zugehörige Regulierungen

Regulierungen

Verknüpfte Vorgänge

Verknüpfungen
is blocked by Multi-Tenant Environments
is blocked by Use of Cryptographic Controls
is blocked by Risk-Based Security Categorization
is blocked by Risk Identification
is blocked by Supply Chain Risk Assessment (SCRA)
is blocked by Risk-Based Security Categorization
is blocked by Risk Identification
is blocked by Supply Chain Risk Assessment (SCRA)
is blocked by Attack Surface Scope