+OPS-32.03B

OPS-32.03B

Zu den weiteren Aspekten, die in den Richtlinien und Verfahren zum Confidential Computing behandelt werden und nicht unbedingt in den den Cloud-Kunden bereitgestellten Informationen enthalten sind, gehören:

1. Verantwortlichkeiten für die Umsetzung und Überwachung von Confidential Computing Maßnahmen;

2. Sicherheitsanforderungen zur Gewährleistung der Vertraulichkeit, Integrität und Authentizität der Daten während der Verarbeitung; und

3. Relevante rechtliche und behördliche Anforderungen an Confidential Computing.

Zu diesen Sicherheitsanforderungen zur Gewährleistung der Vertraulichkeit, Integrität und Authentizität der Daten während der Verarbeitung gehören:

1. Weder der Cloud-Anbieter noch eine andere unbefugte Stelle darf auf die Cloud-Kundendaten oder die zum Schutz dieser Daten verwendeten Schlüssel zugreifen; und

2. Es werden kryptographische Algorithmen verwendet, die der Richtlinie des Cloud-Anbieters zur Nutzung kryptographischer Mechanismen (vgl. CRY-01) entsprechen.

Ergänzende Informationen

Confidential Computing im Sinne des Confidential Computing Consortium und im Sinne dieses Kriteriums ist der Schutz von Daten während der Nutzung (engl. 'data in use') durch die Durchführung von Berechnungen in einem hardwarebasierten, zertifizierten Trusted Execution Environment (TEE).

Ein TEE stellt einen isolierten Teil innerhalb eines Systems dar, der eine besonders geschützte Laufzeitumgebung bereitstellt. Der TEE kann Teil des Hauptprozessors (CPU) oder Teil des System-on-Chip (SoC) sein. Im Allgemeinen erzwingt ein TEE, dass nur autorisierter Code innerhalb des TEE ausgeführt werden kann und die von diesem Code verwendeten Daten nicht von Code außerhalb des TEE gelesen oder manipuliert werden können. Die Attestierung des TEE und der innerhalb des TEE laufenden Anwendung dient der Validierung der Vertrauenswürdigkeit der Verarbeitung.

Zu den Confidential Computing Maßnahmen gehört die Implementierung und Überwachung technischer und organisatorischer Kontrollen, um den sicheren Einsatz und Betrieb der Confidential Computing-Technik zu gewährleisten. Zu diesen Maßnahmen können die Validierung von TEE-Konfigurationen, kontinuierliche Attestierungsprozesse, die Überwachung auf nicht autorisierte Codeänderungen und die Lebenszyklusverwaltung zertifizierter Umgebungen gehören.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen

3. Zugehörige Regulierungen

Regulierungen

Verknüpfte Vorgänge

Verknüpfungen
is blocked by Statutory, Regulatory & Contractual Compliance
is blocked by Use of Cryptographic Controls
is blocked by Cryptographic Key Management
is blocked by Defined Roles & Responsibilities
is blocked by Memory Protection
is blocked by Memory Protection