|
+OIS-08.01AC |
OIS-08.01ACDer Cloud-Anbieter integriert Cybersicherheitsrisiken in ein dokumentiertes Enterprise Risk Management (ERM)-Programm, das die folgenden Aspekte adressiert: 1. Integration von Informationssicherheitsrisiken auf Unternehmensebene, um ein Bewusstsein für Informationssicherheitsrisiken in der gesamten Organisation zu fördern; 2. Bewusstsein der Führungsebene und Unterstützung bei Identifizierung, Analyse und Behandlung von Informationssicherheitsrisiken, um kontinuierliche Verbesserung zu fördern; und 3. Berücksichtigung der strategischen Ziele des Cloud-Anbieters beim Management von Risiken, um die Risikobehandlung an den Zielen der Organisation auszurichten. Ergänzende Informationen Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen. Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|