+OPS-22.04AC

OPS-22.04AC

Der Cloud-Anbieter verwendet den Bedrohungsmodellierungsprozess, um Systemkomponenten mit der höchsten Risikoexposition für Penetrationstests zu priorisieren, indem er Cloud-Komponenten, Dienste, Datenflüsse, Trust Boundaries und für den Cloud-Dienst kritische Assets systematisch analysiert, um potenzielle Bedrohungen, Schwachstellen und Angriffsvektoren aufzulisten.

Ergänzende Informationen

Siehe Abschnitt „1.2 Definitionen“ für die Begriffe „Penetrationstest“ und „wesentliche Änderung“.

Im Gegensatz zu Schwachstellenscans, die Code analysieren, zielen Penetrationstests im Sinne dieses Kriteriums hauptsächlich darauf ab, das Live-System zu untersuchen, um reale Schwachstellen oder Schwächen aufzudecken, die sich nur im tatsächlichen Betrieb des Cloud-Dienstes zeigen, und stellen so den Bezug zum Kriterium OPS-18 her.

Es gibt drei Arten von Penetrationstests:

1. Black-Box-Tests: Tests, die ohne vorherige Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden;

2. Grey-Box-Tests: Tests, die mit teilweiser Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt werden; und

3. White-Box-Tests: Tests werden mit Kenntnis der internen Struktur/des Designs/der Implementierung des zu testenden Objekts durchgeführt.

Es kann weiter unterschieden werden zwischen

1. Pre-Launch-Penetrationstests: Tests, die bereits im Rahmen des Softwareentwicklungsprozesses während der Testphase des Cloud-Dienstes durchgeführt werden (vgl. DEV-07); und

2. Post-Launch-Penetrationstests: Tests, die während des regulären Betriebs des Cloud-Dienstes durchgeführt werden.

Zu den wesentlichen Änderungen können unter anderem die folgenden Ereignisse gehören:

1. Ersetzen zentraler Cloud-Infrastrukturtechnologien oder Durchführen größerer Versions-Upgrades;

2. Wechsel zwischen Service-Organisationen, z. B. Wechsel zu einem neuen IaaS- oder Rechenzentrumsanbieter;

3. Wesentliche Änderungen in der Art und Weise, wie Cloud-Kundendaten verarbeitet und aufbewahrt werden, wie z. B. neue Datensicherungstechniken oder neue Regionen, von denen aus der Dienst betrieben wird;

4. Ersetzen oder Durchführen größerer Upgrades von Sicherheitstechnologien wie Authentisierungsworkflows, Netzsicherheitsmechanismen oder Überwachungsmechanismen; und

5. Wesentliche Änderungen am Cloud-Servicemodell oder an der Funktionalität, die dem Cloud-Kunden zur Verfügung gestellt wird.

Ergänzende Informationen

Dieses Unterkriterium ist nur anwendbar, wenn auch das Unterkriterium OPS-22.03AS angewendet wird.

Das risikobasierte Scoping stellt sicher, dass sich Penetrationstests auf die Bereiche konzentrieren, die am anfälligsten für Sicherheitsbedrohungen sind, verbessert die geschäftliche Ausrichtung und Zusammenarbeit und liefert klare technische Erkenntnisse darüber, welche Komponenten Tests erfordern, die über die standardmäßige Risikobeurteilung hinausgehen.

Für den Bedrohungsmodellierungsprozess können ein strukturierter Bedrohungsmodellierungsansatz wie STRIDE, DREAD, PASTA oder hybride Methoden verwendet werden, die auf Cloud-Umgebungen zugeschnitten sind.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen

3. Zugehörige Regulierungen

Regulierungen

Verknüpfte Vorgänge

Verknüpfungen
is blocked by Threat Modeling