OPS-32.01B

Wenn der Cloud-Dienst Funktionen für Confidential Computing umfasst, werden Richtlinien und Verfahren sowie technische Sicherheitsmaßnahmen gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, in dem die folgenden Aspekte beschrieben werden:

1. Zweck und Umfang, einschließlich der Frage, welche Cyberssicherheitsrisiken auf Seiten des Cloud-Anbieters durch den Einsatz von Confidential Computing mitigiert werden sollen (vgl. OIS-07) und wie die Cloud-Kunden die bereitgestellten Funktionen nutzen können, um Cybersicherheitsrisiken auf ihrer Seite zu steuern;

2. Verfügbare Confidential Computing Techniken;

3. Bestimmung, welche Teile des Cloud-Stacks mit welcher Technologie geschützt sind und wo ein Zugriff Dritter möglich ist;

4. Auflistung der beteiligten Lieferanten/Service-Organisationen; und

5. Nutzung von Trusted Execution Environments (TEEs) oder sicheren Enklaven.

Ergänzende Informationen

Confidential Computing im Sinne des Confidential Computing Consortium und im Sinne dieses Kriteriums ist der Schutz von Daten während der Nutzung (engl. 'data in use') durch die Durchführung von Berechnungen in einem hardwarebasierten, zertifizierten Trusted Execution Environment (TEE).

Ein TEE stellt einen isolierten Teil innerhalb eines Systems dar, der eine besonders geschützte Laufzeitumgebung bereitstellt. Der TEE kann Teil des Hauptprozessors (CPU) oder Teil des System-on-Chip (SoC) sein. Im Allgemeinen erzwingt ein TEE, dass nur autorisierter Code innerhalb des TEE ausgeführt werden kann und die von diesem Code verwendeten Daten nicht von Code außerhalb des TEE gelesen oder manipuliert werden können. Die Attestierung des TEE und der innerhalb des TEE laufenden Anwendung dient der Validierung der Vertrauenswürdigkeit der Verarbeitung.

Zu den Confidential Computing Maßnahmen gehört die Implementierung und Überwachung technischer und organisatorischer Kontrollen, um den sicheren Einsatz und Betrieb der Confidential Computing-Technik zu gewährleisten. Zu diesen Maßnahmen können die Validierung von TEE-Konfigurationen, kontinuierliche Attestierungsprozesse, die Überwachung auf nicht autorisierte Codeänderungen und die Lebenszyklusverwaltung zertifizierter Umgebungen gehören.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

3. Zugehörige Regulierungen

Verknüpfte Vorgänge

• BSI -

  Copyright by Bundesamt für Sicherheit in der Informationstechnik (https://www.bsi.bund.de/)