|
Richtlinien und Verfahren für die regelmäßige Sicherung oder Replikation und regelmäßige Wiederherstellung von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten entsprechend der Sensibilität der Daten sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt: 1. Umfang und Häufigkeit der Datensicherung sowie die Dauer der Datenaufbewahrung stehen im Einklang mit den vertraglichen Vereinbarungen mit den Cloud-Kunden und den Anforderungen des Cloud-Anbieters an die Betriebskontinuität für Recovery Time Objective (RTO) und Recovery Point Objective (RPO); 2. Die Datensicherung erfolgt in verschlüsselter, dem Stand der Technik entsprechender Form; 3. Sichere Aufbewahrung, Übertragung, Verwaltung und Entsorgung von Daten aus der Datensicherung; 4. Der Zugriff auf die gesicherten Daten und die Durchführung von Wiederherstellungen erfolgt nur durch autorisierte Personen; 5. Tests der Datenwiederherstellungsverfahren durch den Cloud-Anbieter (vgl. OPS-08); und 6. Sofern Bestandteil der vertraglichen Vereinbarung: Durchführung tatsächlicher Datenwiederherstellungsanfragen oder Wiederherstellungstests, die vom Cloud-Kunden initiiert wurden. Die Richtlinien und Verfahren enthalten Bedingungen für diejenigen Teile der Cloud-Anbieterdaten, die keine Sicherung erfordern. Für diese Teile der Cloud-Anbieterdaten ist dieses Unterkriterium nicht anwendbar. Ergänzende Informationen Insbesondere bei IaaS- und PaaS-Dienstmodellen liegt die Verantwortung für die Sicherung und Wiederherstellung von Cloud-Kundendaten häufig beim Cloud-Kunden und ist daher nicht Teil der vertraglichen Vereinbarungen zwischen Cloud-Anbieter und Cloud-Kunde. Ist die Datensicherung von Cloud-Kundendaten nicht Vertragsbestandteil, gilt dieses Kriterium nicht für Cloud-Kundendaten, wohl aber für abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten. Inwieweit das Kriterium auf den Cloud-Dienst anwendbar ist, wird in der Systembeschreibung dargestellt. Die Datensicherungsrichtlinien und -verfahren legen fest, welche Art der Datensicherung durchgeführt werden soll (z. B. Umfang, Häufigkeit und Dauer) und legen fest, welche Daten in Sonderfällen (z. B. reine Nutzung von Rechenknoten ohne Datenspeicherung) zusätzlich gesichert werden sollen. Bei der Sicherung von Daten muss zwischen *Backups* und *Snapshots* virtueller Maschinen unterschieden werden. Snapshots ersetzen keine Backups, können aber Teil der Datensicherungs-Strategie zur Erreichung von Recovery Point Objectives (RPO) sein, wenn sie zusätzlich außerhalb des ursprünglichen Datenspeicherorts gespeichert werden. Die geschäftlichen Anforderungen des Cloud-Anbieters an Umfang, Häufigkeit und Dauer der Datensicherung ergeben sich aus der Business-Impact-Analyse (vgl. BCM-02) für Entwicklungs- und Betriebsprozesse des Cloud-Dienstes. Sofern für Cloud-Kundendaten und Cloud-Anbieterdaten unterschiedliche Datensicherungs- und -wiederherstellungsverfahren bestehen, sind beide Varianten Gegenstand der Prüfungen von Kontrollen nach diesem Kriterienkatalog. Bestehende vertragliche Vereinbarungen vor einer C5-Attestierung müssen nicht aktualisiert werden, um die in diesem Kriterium genannten Anforderungen zu berücksichtigen. Stattdessen sollten neue vertragliche Vereinbarungen so gestaltet werden, dass bestimmte Anforderungen klar definiert und mit Cloud-Kunden vereinbart werden. Ergänzende Informationen Teile der Cloud-Anbieterdaten, für die keine Sicherung erforderlich ist, umfassen unter anderem Teile von Cloud-Anbieterdaten, die ohne Sicherung von Grund auf neu erstellt werden können.
|