OPS-26 Umgang mit Schwachstellen, Vorfällen und Abstürzen - Systemhärtung

Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters, die für die Bereitstellung des Cloud-Dienstes in der Produktionsumgebung verwendet werden, sind gemäß allgemein anerkannten Branchenstandards gehärtet.

Ergänzende Informationen

Systemkomponenten im Sinne des Kriteriums sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übertragung, Löschung oder Zerstörung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z.B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver. Diese Systemkomponenten bestehen wiederum aus Hardware- und Softwareobjekten. Dieses Kriterium beschränkt sich auf Softwareobjekte, z.B Hypervisor, Betriebssysteme, Datenbanken, Programmierschnittstellen (APIs), Images (z. B. für virtuelle Maschinen und Container) und Anwendungen zur Protokollierung und Überwachung sicherheitsrelevanter Ereignisse.

Ergänzende Informationen

Allgemein anerkannte Branchenstandards sind beispielsweise der Security Configuration Benchmark des Center for Internet Security (CIS) oder die entsprechenden Module im BSI IT-Grundschutz-Kompendium.

Die je Systemkomponente anzuwendenden Vorgaben zur Härtung sind dokumentiert.

Soweit nicht veränderliche ('immutable') Images eingesetzt werden, wird die Einhaltung der Vorgaben zur Härtung in einem konsistenten Verfahren überprüft.

Konfigurations- und Protokolldaten (Cloud-Anbieterdaten) bezüglich der kontinuierlichen Bereitstellung dieser Images werden aufbewahrt.

Ergänzende Informationen

Die Konfigurations- und Protokolldaten bezüglich nicht veränderlicher Images beinhalten beispielsweise:

1. Konfiguration der eingesetzten Images bezüglich umgesetzter Vorgaben zur Härtung;

2. Vorgaben inklusive Versionshistorie; und

3. Protokolldaten bezüglich der Datei-Integritätsüberwachung der im produktiven Einsatz befindlichen Images.

Der Cloud-Anbieter implementiert Überwachungsmaßnahmen, um sicherzustellen, dass Systemkomponenten den Vorgaben zur Härtung entsprechen.

Ergänzende Informationen

Systemkomponenten im Sinne des Kriteriums sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übertragung, Löschung oder Zerstörung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z.B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver. Diese Systemkomponenten bestehen wiederum aus Hardware- und Softwareobjekten. Dieses Kriterium beschränkt sich auf Softwareobjekte, z.B Hypervisor, Betriebssysteme, Datenbanken, Programmierschnittstellen (APIs), Images (z. B. für virtuelle Maschinen und Container) und Anwendungen zur Protokollierung und Überwachung sicherheitsrelevanter Ereignisse.

Ergänzende Informationen

Die Einhaltung der Vorgaben zur Härtung kann z.B. durch eine Datei-Integritätsüberwachung überwacht werden.

Erkannte Abweichungen von diesen Vorgaben werden zeitnah an die zuständigen Abteilungen gemeldet, damit diese umgehend beurteilt und Maßnahmen ergriffen werden können.

Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters werden automatisch auf Einhaltung der Vorgaben zur Härtung überwacht.

Ergänzende Informationen

Systemkomponenten im Sinne des Kriteriums sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übertragung, Löschung oder Zerstörung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z.B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver. Diese Systemkomponenten bestehen wiederum aus Hardware- und Softwareobjekten. Dieses Kriterium beschränkt sich auf Softwareobjekte, z.B Hypervisor, Betriebssysteme, Datenbanken, Programmierschnittstellen (APIs), Images (z. B. für virtuelle Maschinen und Container) und Anwendungen zur Protokollierung und Überwachung sicherheitsrelevanter Ereignisse.

Ergänzende Informationen

Die Einhaltung der Vorgaben zur Härtung kann z.B. durch eine Datei-Integritätsüberwachung überwacht werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass jene Ebenen des Cloud-Dienstes, die unter ihrer Verantwortung stehen, gemäß allgemein etablierter und akzeptierter Branchenstandards zu härten. Die angewendeten Härtungsmaßnahmen resultieren aus einer Risikobeurteilung der geplanten Nutzung des Cloud-Dienstes.