OPS-22 Umgang mit Schwachstellen, Vorfällen und Abstürzen - Penetrationstests

Der Cloud-Anbieter führt mindestens jährlich und bei wesentlichen Änderungen am Cloud-Dienst gemäß den Richtlinien zum Schwachstellenmanagement (vgl. OPS-18) Penetrationstests durch qualifiziertes internes Personal oder externe Penetrationstester durch.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Die Qualifikation und Kompetenz des Personals für Penetrationstests kann anhand professioneller Zertifizierungen, z.B. als BSI-zertifizierter IS-Penetrationstester oder CREST-zertifizierter Cyber Security Professional, nachgewiesen werden.

Penetrationstests werden gemäß eines dokumentierten Rahmenwerks für Penetrationstests durchgeführt, das die Anzahl und Art der durchzuführenden Penetrationstests sowie die Anforderungen an die Qualifikation und Kompetenz des Personals zur Durchführung solcher Tests umreißt. Die Anzahl und Art der durchzuführenden Penetrationstests werden auf Basis einer Risikobeurteilung festgelegt (vgl. OIS-07).

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Wie viele Penetrationstests innerhalb eines Jahres durchgeführt werden sollten, hängt von Faktoren wie der Größe und Komplexität des bereitgestellten Cloud-Dienstes ab. Wenn Penetrationstests mehrjährigen Testplänen folgen, sollten diese bei der Festlegung der Anzahl und Art der innerhalb eines Jahres durchzuführenden Penetrationstests berücksichtigt werden.

Penetrationstests zielen auf die für die Bereitstellung des Cloud-Dienstes relevanten Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters ab. In einer Risikobeurteilung werden die anzugreifenden Systemkomponenten identifiziert.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Mithilfe der Risikobeurteilung sollen die Systemkomponenten identifiziert werden, die für die Bereitstellung des Cloud-Dienstes am kritischsten bzw. für Penetrationstests am relevantesten sind.

Ergänzende Informationen

Für die Bereitstellung des Cloud-Dienstes relevante Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters können solche Systemkomponenten sein, die am externen Perimeter des Netzes exponiert sind, oder Komponenten, die nur von innerhalb des Netzes zugänglich sind.

Penetrationstests werden in Übereinstimmung mit Testplänen durchgeführt, die alle relevanten Systemkomponenten abdecken und festlegen, welche Systemkomponenten getestet werden sollen.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Erfolgen Penetrationstests in Übereinstimmung mit mehrjährigen Testplänen, wird jede relevante Systemkomponente innerhalb eines Zeitraums von maximal drei Jahren mindestens einem Penetrationstest unterzogen.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Für die Bereitstellung des Cloud-Dienstes relevante Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters können solche Systemkomponenten sein, die am externen Perimeter des Netzes exponiert sind, oder Komponenten, die nur von innerhalb des Netzes zugänglich sind.

Der Cloud-Anbieter beurteilt den Schweregrad der identifizierten Schwachstellen nach dem Common Vulnerability Scoring System (CVSS) in der zum Zeitpunkt der Beurteilung aktuellen Fassung.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Maßnahmen zur Behebung oder Mitigation werden in Übereinstimmung mit den Zeitrahmen ergriffen, die in den Richtlinien für den Umgang mit Schwachstellen definiert sind (vgl. OPS-18).

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Die durch Penetrationstests entdeckten Schwachstellen werden einer Ursachenanalyse unterzogen. Die Ursachenanalyse ermöglicht eine Einschätzung, inwieweit ähnliche Schwachstellen im Cloud-Dienst vorhanden sein können.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Penetrationstests werden auf der Grundlage von Überprüfungen der Architektur und Konfiguration der Systemkomponenten sowie des Quellcodes des Cloud-Anbieters durchgeführt.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Der Cloud-Anbieter entwirft einen mehrjährigen Testplan für seine Penetrationstestaktivitäten.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Der Cloud-Anbieter überprüft die Wirksamkeit von Penetrationstests an Systemkomponenten mindestens jährlich und bei wesentlichen Änderungen am Cloud-Dienst.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Der Cloud-Anbieter verwendet den Bedrohungsmodellierungsprozess, um Systemkomponenten mit der höchsten Risikoexposition für Penetrationstests zu priorisieren, indem er Cloud-Komponenten, Dienste, Datenflüsse, Trust Boundaries und für den Cloud-Dienst kritische Assets systematisch analysiert, um potenzielle Bedrohungen, Schwachstellen und Angriffsvektoren aufzulisten.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Dieses Unterkriterium ist nur anwendbar, wenn auch das Unterkriterium OPS-22.03AS angewendet wird.

Das risikobasierte Scoping stellt sicher, dass sich Penetrationstests auf die Bereiche konzentrieren, die am anfälligsten für Sicherheitsbedrohungen sind, verbessert die geschäftliche Ausrichtung und Zusammenarbeit und liefert klare technische Erkenntnisse darüber, welche Komponenten Tests erfordern, die über die standardmäßige Risikobeurteilung hinausgehen.

Für den Bedrohungsmodellierungsprozess können ein strukturierter Bedrohungsmodellierungsansatz wie STRIDE, DREAD, PASTA oder hybride Methoden verwendet werden, die auf Cloud-Umgebungen zugeschnitten sind.

Der Cloud-Anbieter korreliert die möglichen Ausnutzungen entdeckter Schwachstellen mit früheren Informationssicherheitsvorfällen, um festzustellen, ob die Schwachstelle möglicherweise bereits vor ihrer Entdeckung ausgenutzt wurde.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Der Cloud-Anbieter führt mindestens alle sechs Monate und bei wesentlichen Änderungen am Cloud-Dienst gemäß den Richtlinien zum Schwachstellenmanagement (vgl. OPS-18) Penetrationstests durch unabhängige externe Penetrationstester durch. Der Einsatz externer Penetrationstester erfolgt nur dann, wenn das für die Durchführung des Tests vorgesehene Personal nachweislich die Qualifikations- und Kompetenzanforderungen des Cloud-Anbieters erfüllt. Internes Personal für Penetrationstests kann das externe Personal unterstützen.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Die Qualifikation und Kompetenz des Personals für Penetrationstests kann anhand professioneller Zertifizierungen, z.B. als BSI-zertifizierter IS-Penetrationstester oder CREST-zertifizierter Cyber Security Professional, nachgewiesen werden.

Pre-Launch- und Post-Launch-Penetrationstests werden gemäß eines dokumentierten Rahmenwerks für Penetrationstests durchgeführt, der die Anzahl und Art der durchzuführenden Penetrationstests sowie die Anforderungen an die Qualifikation und Kompetenz des Personals zur Durchführung solcher Tests umreißt. Die Anzahl und Art der durchzuführenden Penetrationstests werden auf Basis einer Risikobeurteilung festgelegt (vgl. OIS-07).

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Wie viele Penetrationstests innerhalb eines Jahres durchgeführt werden sollten, hängt von Faktoren wie der Größe und Komplexität des bereitgestellten Cloud-Dienstes ab. Wenn Penetrationstests mehrjährigen Testplänen folgen, sollten diese bei der Festlegung der Anzahl und Art der innerhalb eines Jahres durchzuführenden Penetrationstests berücksichtigt werden.

Penetrationstests zielen auf für die Bereitstellung des Cloud-Dienstes relevante Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters ab. In einer Risikobeurteilung, gegebenenfalls unter Einbeziehung einer Bedrohungsmodellierung, werden die anzugreifenden Systemkomponenten identifiziert.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Mithilfe der Risikobeurteilung sollen die Systemkomponenten identifiziert werden, die für die Bereitstellung des Cloud-Dienstes am kritischsten bzw. für Penetrationstests am relevantesten sind.