OPS-18.01B

Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, um das zeitnahe Identifizieren und Adressieren von Schwachstellen der Systemkomponenten, die für die Bereitstellung des Cloud-Dienstes verwendet werden, zu regeln. Diese Richtlinien und Verfahren enthalten Vorgaben zu folgenden Aspekten:

1. Regelmäßige (proaktive) Identifizierung von Schwachstellen durch geeignete Maßnahmen, einschließlich Schwachstellenscans und Penetrationstests, unter Berücksichtigung typischer Schwachstellenklassen und gemeinsamer Schwachstellen (Common Weaknesses, CWEs);

2. Beurteilung des Schweregrads identifizierter Schwachstellen mithilfe des Common Vulnerability Scoring System (CVSS);

3. Priorisierung und Umsetzung von Maßnahmen unter Berücksichtigung bestehender Standards zur zeitnahen Behebung und/oder Mitigation identifizierter Schwachstellen basierend auf dem Schweregrad gemäß definierter Zeitrahmen und unter Bezugnahme auf häufig verwendete Bewertungssysteme wie das Exploit Prediction Scoring System (EPSS) und die Stakeholder-Specific Vulnerability Categorization (SSVC);

4. Bereitstellung von Sicherheitspatches;

5. Umgang mit Systemkomponenten, für die basierend auf einer Risikobeurteilung keine Maßnahmen zur zeitnahen Behebung oder Mitigation der Schwachstellen eingeleitet werden;

6. Schnittstellen zum Vorfallsmanagement für den Fall, dass Schwachstellen zu Vorfällen werden;

7. Sofern KI-basierte Tools zur Durchführung von Schwachstellenscans oder Penetrationstests eingesetzt werden, Anforderungen an die verständliche (nachvollziehbare, transparente) Dokumentation des Einsatzes dieser Tools und dass diese Tools zur Unterstützung der Fachexperten des Cloud-Anbieters eingesetzt werden und nicht als deren Ersatz; und

8. Bereitstellung von Informationen über die Konfiguration von Systemkomponenten und Cloud-Diensten, die bestehenden Schwachstellen und die verfügbaren Patches und/oder Maßnahmen zur Behebung unter Verwendung weit verbreiteter, vorzugsweise automatisierter Formate.

Ergänzende Informationen

Geeignete Maßnahmen zur Identifizierung von Schwachstellen umfassen die Implementierung von RFC 9116 in Verbindung mit einer CVD-Richtlinie (Coordinated Vulnerability Disclosure) gemäß etablierten Richtlinien wie ISO/IEC TR 5895:2022 und ISO/IEC 29147:2018 sowie Community-Standards wie der Project Zero Vulnerability Disclosure Policy von Google.

Das Common Vulnerability Scoring System (CVSS) ist ein technischer Standard, der zur Bewertung des Schweregrads identifizierter Schwachstellen verwendet werden kann. Die Bewertungen werden auf der Grundlage einer Formel mit mehreren Metriken berechnet, die die Leichtigkeit und Auswirkung eines Exploits abschätzen. In CVSS Version 4.0 können die Scores wie folgt auf qualitative Bewertungen abgebildet werden:

1. Niedrig: 0,1 - 3,9;

2. Mittel: 4,0 - 6,9;

3. Hoch: 7,0 - 8,9; und

4. Kritisch: 9,0 - 10,0.

Zu den weit verbreiteten Formaten zur Konfiguration von Systemkomponenten und Cloud-Diensten, den bestehenden Schwachstellen und den verfügbaren Patches und/oder Mitigationsmaßnahmen gehören unter anderem:

1. Software Bill of Materials (SBOM),

2. Common Vulnerabilities and Exposures (CVE) oder European Vulnerability Database (EUVD),

3. Vulnerability, Exploitability eXchange (VEX); und

4. Common Security Advisory Frameworks (CSAF).

Ergänzende Informationen

ISO/IEC 30111:2019 stellt Anforderungen und Empfehlungen für die Priorisierung und Umsetzung von Maßnahmen bereit, um die zeitnahe Behebung oder Minderung identifizierter Schwachstellen sicherzustellen.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

3. Zugehörige Regulierungen

Verknüpfte Vorgänge

• BSI -

  Copyright by Bundesamt für Sicherheit in der Informationstechnik (https://www.bsi.bund.de/)