OPS-25 Umgang mit Schwachstellen, Vorfällen und Abstürzen - Schwachstellenscans

Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters für die Bereitstellung des Cloud-Dienstes werden gemäß den Richtlinien zum Umgang mit Schwachstellen (vgl. OPS-18) mindestens monatlich einem Schwachstellenscan unterzogen. Diese Schwachstellenscans umfassen einen Vergleich von Softwarekomponentendaten mit aktuellen Schwachstellendatenbanken (z. B. CVE, EUVD usw.), um bekannte Schwachstellen zu identifizieren.

Ergänzende Informationen

Im Gegensatz zu Penetrationstests (vgl. OPS-22), die manuell und nach einem individuellen Schema durchgeführt werden, erfolgt die Prüfung auf offene Schwachstellen automatisch mithilfe sogenannter Schwachstellenscanner.

Definitionen der Begriffe 'CVE' und 'EUVD' sowie anderer Begriffe mit Bezug zu Schwachstellen befinden sich in den ergänzenden Informationen zum Kriterium OPS-18.01B.

Die Daten der Softwarekomponenten, die mit aktuellen Schwachstellendatenbanken abgeglichen werden sollen, können, müssen aber nicht, mithilfe einer Software Bill of Materials (SBOM) ermittelt werden.

Der Cloud-Anbieter beurteilt den Schweregrad von Schwachstellen anhand definierter Kriterien.

Maßnahmen zur zeitnahen Behebung oder Mitigation werden innerhalb definierter Zeitfenster eingeleitet.

Die Ergebnisse der Schwachstellenscans werden verwendet, um die SIEM-Systemregeln (vgl. OPS-13) des Cloud-Anbieters zu aktualisieren, sodass das System erkennen kann, wenn bekannte Schwachstellen aktiv ausgenutzt werden.

Zeitrahmen für die Einleitung von Behebungs- oder Minderungsbemühungen nach der Identifizierung einer Schwachstelle werden gemäß einem risikobasierten Klassifizierungsrahmenwerks definiert und überwacht. Dieses Rahmenwerk berücksichtigt unter anderem den CVSS-Schweregrad von Schwachstellen.

Ergänzende Informationen

Ein Beispiel für ein Rahmenwerk zur risikobasierten Klassifizierung und Definition von Zeitrahmen kann sein:

1. Kritisch (CVSS = 9,0 - 10,0): 24 - 48 Stunden;

2. Hoch (CVSS = 7,0 - 8,9): 48 - 72 Stunden;

3. Mittel (CVSS = 4,0 - 6,9): 5 Tage; und

4. Niedrig (CVSS = 0,1 - 3,9): 1 Monat.

Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters für die Bereitstellung des Cloud-Dienstes werden gemäß den Richtlinien zum Umgang mit Schwachstellen (vgl. OPS-18) mindestens täglich einem Schwachstellenscan unterzogen. Diese Schwachstellenscans umfassen einen Vergleich von Softwarekomponentendaten mit aktuellen Schwachstellendatenbanken (z. B. CVE, EUVD usw.), um bekannte Schwachstellen zu identifizieren.

Ergänzende Informationen

Im Gegensatz zu Penetrationstests (vgl. OPS-22), die manuell und nach einem individuellen Schema durchgeführt werden, erfolgt die Prüfung auf offene Schwachstellen automatisch mithilfe sogenannter Schwachstellenscanner.

Definitionen der Begriffe 'CVE' und 'EUVD' sowie anderer Begriffe mit Bezug zu Schwachstellen befinden sich in den ergänzenden Informationen zum Kriterium OPS-18.01B.

Die Daten der Softwarekomponenten, die mit aktuellen Schwachstellendatenbanken abgeglichen werden sollen, können, müssen aber nicht, mithilfe einer Software Bill of Materials (SBOM) ermittelt werden.

Der Cloud-Anbieter beurteilt den Schweregrad von Schwachstellen anhand der zum Zeitpunkt der Bewertung aktuellsten Version des Common Vulnerability Scoring System (CVSS).

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass in ihrem Verantwortungsbereich liegende Systemkomponenten regelmäßig auf Schwachstellen überprüft werden und sie diese durch geeignete Maßnahmen mitigieren. Wenn Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, umfasst dies auch die Durchführung von Schwachstellenscans, um sicherzustellen, dass sichere Images (sog. Golden Images) verwendet werden, die entweder vom Cloud-Anbieter oder vom Cloud-Kunden selbst bereitgestellt werden.