OPS-08 Datensicherung und -wiederherstellung - Regelmäßige Tests

Wiederherstellungsverfahren werden regelmäßig, mindestens jährlich, getestet. Die Tests umfassen Cloud-Anbieterdaten und, sofern vertraglich vereinbart, Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten.

Ergänzende Informationen

Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, ist dieses Kriterium nicht anwendbar. Dieser Sachverhalt ist vom Cloud-Anbieter in der Systembeschreibung transparent darzustellen.

Ergänzende Informationen

Die im Basiskriterium beschriebene Nutzung von Cloud-Kundendaten bei Sicherungs- und Wiederherstellungsverfahren stellt eine wohlüberlegte Ausnahme dar. Diese Ausnahme erstreckt sich nicht auf allgemeine Softwareentwicklungs- oder andere Testumgebungen und die Verwendung von Cloud-Kundendaten für Tests ist speziell auf Sicherungs- und Wiederherstellungsverfahren beschränkt.

Die Tests ermöglichen eine Beurteilung, ob die vertraglichen Vereinbarungen sowie die Vorgaben zur maximal tolerierbaren Ausfallzeit (Recovery Time Objective, RTO) und zum maximal zulässigen Datenverlust (Recovery Point Objective, RPO) eingehalten werden (vgl. BCM-02).

Ergänzende Informationen

Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, ist dieses Kriterium nicht anwendbar. Dieser Sachverhalt ist vom Cloud-Anbieter in der Systembeschreibung transparent darzustellen.

Cloud-Kundendaten werden nur in Umgebungen wiederhergestellt, die denselben Zugriffsbeschränkungen unterliegen wie die Produktionsumgebung.

Ergänzende Informationen

Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, ist dieses Kriterium nicht anwendbar. Dieser Sachverhalt ist vom Cloud-Anbieter in der Systembeschreibung transparent darzustellen.

Ergänzende Informationen

Wenn Cloud-Kundendaten in einer Umgebung mit unterschiedlichen Zugriffsbeschränkungen wiederhergestellt werden, kann die Vertraulichkeit der Daten beeinträchtigt werden.

Durchgeführte Wiederherstellungstests werden ausführlich dokumentiert. Dazu gehört auch die Dokumentation der sicheren Entsorgung der wiederhergestellten Daten.

Ergänzende Informationen

Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, ist dieses Kriterium nicht anwendbar. Dieser Sachverhalt ist vom Cloud-Anbieter in der Systembeschreibung transparent darzustellen.

Abweichungen von den Vorgaben werden an das dafür zuständige Personal oder die dafür zuständigen Systemkomponenten beim Cloud-Anbieter berichtet, damit diese die Abweichungen zeitnah beurteilen und erforderliche Maßnahmen einleiten können.

Ergänzende Informationen

Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, ist dieses Kriterium nicht anwendbar. Dieser Sachverhalt ist vom Cloud-Anbieter in der Systembeschreibung transparent darzustellen.

Auf Wunsch des Cloud-Kunden informiert der Cloud-Anbieter den Cloud-Kunden über die Ergebnisse der Wiederherstellungstests.

Ergänzende Informationen

Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, ist dieses Kriterium nicht anwendbar. Dieser Sachverhalt ist vom Cloud-Anbieter in der Systembeschreibung transparent darzustellen.

Wiederherstellungstests sind im Business Continuity Management des Cloud-Anbieters enthalten.

Ergänzende Informationen

Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, ist dieses Kriterium nicht anwendbar. Dieser Sachverhalt ist vom Cloud-Anbieter in der Systembeschreibung transparent darzustellen.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass sie aktiv Informationen über die Ergebnisse von Wiederherstellungstests beim Cloud-Anbieter anfordern. Cloud-Kunden bewerten die Wirksamkeit angewandter Datenwiederherstellungsstrategien und integrieren Erkenntnisse in ihre eigenen Notfallpläne im Einklang mit ihren Geschäftsanforderungen und Sicherheitsstandards.