OPS-11 Protokollierung und Überwachung - Richtlinien und Verfahren für den Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten

Richtlinien und Verfahren für den sicheren Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten werden gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, und zwar im Hinblick auf mindestens die folgenden Aspekte:

1. Abgeleitete Cloud-Dienstdaten und Kontodaten werden ausschließlich zur Verwaltung und zum Betrieb des Cloud-Dienstes erfasst und verwendet, einschließlich Zwecken im Zusammenhang mit der Implementierung von Sicherheitskontrollen.

2. Keine kommerzielle Nutzung über den oben genannten Zweck zur Verwaltung und zum Betrieb des Cloud-Dienstes hinaus;

3. Aufbewahrung für einen festgelegten Zeitraum, der im angemessenen Verhältnis zu den Zwecken der Erhebung steht;

4. Die Vertraulichkeit und Integrität der Protokolldaten wird durch geeignete Sicherheitskontrollen geschützt;

5. Soweit technisch möglich, werden anonymisierte, abgeleitete Cloud-Dienstdaten nur in einer Weise genutzt, dass keine Rückschlüsse auf das Nutzungsverhalten einzelner Nutzer des Cloud-Kunden möglich sind;

6. Abgeleitete Cloud-Dienstdaten, die vollständig anonymisiert sind und nicht auf einzelne Cloud-Kunden zurückgeführt werden können, dürfen weiterverarbeitet und aufbewahrt werden, sofern keine vertraglichen oder gesetzlichen Beschränkungen bestehen, andernfalls sofortige Löschung, wenn die Zwecke der Erhebung erfüllt sind und eine weitere Aufbewahrung nicht mehr erforderlich ist; und

7. Bereitstellung an Cloud-Kunden gemäß vertraglicher Vereinbarung.

Ergänzende Informationen

Die Erhebung und Nutzung der abgeleiteten Cloud-Dienstdaten und Kontodaten für die Verwaltung und den Betrieb des Cloud-Dienstes umfasst auch die Auswertung der vorgenannten Daten zum Zweck der Verbesserung des bereitgestellten Cloud-Dienstes, es sei denn, diese Verbesserung dient ausschließlich wirtschaftlichen Interessen des Cloud-Anbieters.

Wenn der Cloud-Anbieter als Cloud-Vermittler fungiert, sollten die Richtlinien und Verfahren die Komplexität der Handhabung von abgeleiteten Cloud-Dienstdaten und Kontodaten im Rahmen dieser Rolle besonders berücksichtigen.

Der Cloud-Anbieter legt in den vertraglichen Vereinbarungen mit Cloud-Kunden alle Zwecke fest, für die abgeleitete Cloud-Dienstdaten erhoben und verwendet werden, mit Ausnahme derjenigen Zwecke, die dem allgemeinen Betrieb aller Cloud-Dienste innewohnen.

Ergänzende Informationen

Mit dem allgemeinen Betrieb vieler Cloud-Dienste verbundene Zwecke sind:

1. Kapazitätsplanung und Ressourcenmanagement;

2. Sicherheitsüberwachung und Reaktion auf Vorfälle;

3. Einhaltung regulatorischer Anforderungen; und

4. Serviceleistung und Zuverlässigkeit.

Personenbezogene Daten werden vor der Verarbeitung durch den Cloud-Anbieter automatisch aus den Protokolldaten entfernt, soweit dies technisch möglich ist. Die Entfernung erfolgt in einer Weise, die es dem Cloud-Anbieter ermöglicht, die Protokolldaten weiterhin für den Zweck zu verwenden, für den sie erfasst wurden.

Abgeleitete Cloud-Dienstdaten, insbesondere Protokolldaten, werden in die Bewertung der Einhaltung gesetzlicher Vorschriften einbezogen.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass ihre Verträge mit dem Cloud-Anbieter die zulässigen Nutzungen der abgeleiteten Cloud-Dienstdaten klar regeln. Cloud-Kunden vergewissern sich, dass die Datenverarbeitung den vertraglichen oder gesetzlichen Beschränkungen entspricht und nehmen zur Kenntnis, dass der Anbieter verpflichtet ist, Daten zu löschen, wenn sie für seine ursprünglichen Zwecke nicht mehr erforderlich sind, sofern nichts anderes vereinbart wurde.