+OPS-22.02B

OPS-22.02B

Penetrationstests werden gemäß eines dokumentierten Rahmenwerks für Penetrationstests durchgeführt, das die Anzahl und Art der durchzuführenden Penetrationstests sowie die Anforderungen an die Qualifikation und Kompetenz des Personals zur Durchführung solcher Tests umreißt. Die Anzahl und Art der durchzuführenden Penetrationstests werden auf Basis einer Risikobeurteilung festgelegt (vgl. OIS-07).

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Wie viele Penetrationstests innerhalb eines Jahres durchgeführt werden sollten, hängt von Faktoren wie der Größe und Komplexität des bereitgestellten Cloud-Dienstes ab. Wenn Penetrationstests mehrjährigen Testplänen folgen, sollten diese bei der Festlegung der Anzahl und Art der innerhalb eines Jahres durchzuführenden Penetrationstests berücksichtigt werden.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen

3. Zugehörige Regulierungen

Regulierungen

Verknüpfte Vorgänge

Verknüpfungen
is blocked by Penetration Testing