OPS-34 Container-Management - Richtlinien und Verfahren

Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen zur Planung und Verwaltung von Containern werden gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt. Diese Richtlinien und Verfahren enthalten Vorgaben für den gesamten Container-Lebenszyklus, die mindestens folgende Aspekte betreffen:

1. Image-Erstellung, -Test und -Validierung;

2. Image-Aufbewahrung und -Abruf;

3. Containerbereitstellung und -verwaltung;

4. Containerbetrieb; und

5. Außerbetriebnahme von Images und Containern.

Die Richtlinien und Verfahren beschreiben Maßnahmen entlang des Lebenszyklus von Containern und adressieren mindestens folgende Aspekte:

1. Container werden nach einem dokumentierten Prozess inventarisiert (vgl. AM-02, AM-03, AM-09);

2. Der Bedarf an Malware-Schutz wird beurteilt und ggf. sichergestellt (vgl. OPS-05);

3. Die Protokollierung und Überwachung von Ereignissen erfolgt entlang des Container-Lebenszyklus und wird gemäß einem definierten Protokollierungsrahmenwerks durchgeführt (vgl. OPS-10, OPS-12);

4. Cloud-Kundendaten werden auf der Grundlage einer Risikobeurteilung getrennt (vgl. OPS-30);

5. Der Zugriff auf den Container-Host sollte gemäß einem Rollen- und Rechterahmenwerk und einer Richtlinie zur Verwaltung des Zugriffs und der Zugriffsberechtigungen erfolgen (vgl. IAM-01, IAM-06);

6. Auf Containern gespeicherte Daten und Daten im Transport sollten vom Anbieter soweit möglich gemäß der Verschlüsselungsrichtlinie (vgl. CRY-01) verschlüsselt werden;

7. Maßnahmen zur Gewährleistung der Netzsicherheit werden festgelegt. Dazu gehören beispielsweise Maßnahmen zur Detektion von Netzanomalien (vgl. COS-01 und COS-03) wie unerwartete Datenflüsse innerhalb des Netzes oder unerwünschte Zugriffsversuche;

8. Änderungen an Containern und Images erfolgen nach einem geregelten Prozess (vgl. DEV-03); und

9. Härtungsprozesse werden nach allgemeinen Branchenstandards durchgeführt, um sicherzustellen, dass keine unnötigen Systemdienste ausgeführt werden (vgl. PSS-11).

Darüber hinaus beschreiben die Richtlinien und Verfahren Maßnahmen entlang des Lebenszyklus von Containern, die mindestens folgende Aspekte adressieren:

1. Container-Images werden kryptographisch signiert und der Signaturschlüssel sicher gespeichert (vgl. CRY-10), um ihre Authentizität und Integrität sicherzustellen;

2. Das Containerverhalten wird mithilfe von Laufzeitsicherheitskontrollen überwacht und eingeschränkt; und

3. Softwareprodukte, die für die Bereitstellung von Container-Images verwendet werden, werden, soweit möglich, regelmäßig auf bekannte Schwachstellen oder schädliche Komponenten in Container-Images und Abhängigkeiten überprüft.

Ergänzende Informationen

Im Falle von Drittanbieter- und Open-Source-Softwareprodukten, die für die Bereitstellung von Container-Images verwendet werden, entsprechen die Scanverfahren den in DEV-14 definierten Richtlinien und Verfahren.