PI-01 Sicherheit von Eingabe- und Ausgabeschnittstellen

Für die Eingabe- und Ausgabeschnittstellen, über die auf den Cloud-Dienst durch andere Cloud-Dienste oder IT-Systeme von Cloud-Kunden zugegriffen werden kann, entwirft, implementiert und pflegt der Cloud-Anbieter Kontrollen hinsichtlich der folgenden Aspekte:

1. Die Verwendung standardisierter Kommunikationsprotokolle für Interaktionen zwischen verschiedenen Anwendungsschnittstellen, um die Vertraulichkeit und Integrität der übertragenen Informationen entsprechend ihrem Schutzbedarf sowie die angemessene Authentisierung des Nutzers sicherzustellen;

2. Die Verwendung von Verschlüsselung gemäß CRY-02 bei Kommunikation über nicht vertrauenswürdige Netze;

3. Die Verwendung standardisierter Datenformate und gemeinsamer Standards der Datenverarbeitung, um die Interoperabilität der Informationsverarbeitung zu erleichtern;

4. Die Implementierung von Mechanismen zur Validierung der Datenintegrität und zur Etablierung von Sicherungs- und Wiederherstellungsprozessen, um Datensicherheit und Zuverlässigkeit während Austausch, Nutzung und Übertragung sicherzustellen; und

5. Die Bereitstellung aktueller Informationen über die verfügbaren Kommunikationsprotokolle sowie die anwendbaren Datenformate und Standards der Datenverarbeitung.

Ergänzende Informationen

In diesem Kontext ist eine Schnittstelle ein Systemzugangspunkt oder eine Bibliotheksfunktion mit einer wohldefinierten Syntax. Sie umfasst dokumentierte Methoden, die es Cloud-Kunden ermöglichen, sicher auf den Cloud-Dienst zuzugreifen und mit ihm zu interagieren, wodurch der Austausch von Daten ermöglicht wird.

Diese Schnittstellen und ihre Dokumentation sollten ausreichende Informationen über den Cloud-Dienst enthalten, um die Entwicklung von Software zu ermöglichen, die zum Zweck der Datenportabilität und Interoperabilität mit ihm kommuniziert. Der Cloud-Anbieter ist jedoch nicht verpflichtet, zu diesem Zweck neue Technologien zu entwickeln oder Informationen weiterzugeben, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen.

Während diese Schnittstellen die Mittel zur Kommunikation mit dem Cloud-Dienst bereitstellen, bedeuten sie nicht, dass Cloud-Kunden ihre kundenspezifischen Systeme direkt anschließen können, als wären diese nativ integriert. Stattdessen können Cloud-Kunden ihre Systeme konfigurieren, indem sie Methoden wie API-Aufrufe verwenden und die vom Cloud-Anbieter bereitgestellten festgelegten Protokolle und Datenformate einhalten.

Um eine nahtlose und sichere Kommunikation zwischen Schnittstellen sicherzustellen, verwendet der Cloud-Anbieter branchenübliche API-Protokolle und implementiert dem Stand der Technik entsprechende Transportschichtsicherheit. Der Cloud-Anbieter unterstützt plattformübergreifende Informationsverarbeitung durch den Einsatz von Containerisierungstechnologien und Cloud-Anbieter-agnostischen Entwicklungs-Frameworks. Infrastructure as Code Verfahren werden übernommen, um die Bereitstellung von Infrastruktur zu standardisieren. Gemeinsame Richtlinien zur Datennutzung werden definiert und durchgesetzt, um einen konsistenten und sicheren Zugriff auf Cloud-Kundendaten sowie deren Nutzung und Weitergabe sicherzustellen. Nach Vertragsbeendigung unterstützt der Cloud-Anbieter Cloud-Kunden beim Export und bei der Übertragung ihrer Cloud-Kundendaten, z. B. durch die Bereitstellung technischer Dokumentation und von Datenexportwerkzeugen.

Der Cloud-Anbieter stellt dem Cloud-Kunden geeignete technische Mittel zur Extraktion von Cloud-Kundendaten gemäß dem vorherigen Unterkriterium zur Verfügung. Soweit Datenvolumen, Format oder Architektur eine kundenseitige Extraktion nicht praktikabel machen, stellt der Cloud-Anbieter dem Cloud-Kunden angemessene Extraktionsdienste zur Verfügung.

Ergänzende Informationen

In diesem Kontext ist eine Schnittstelle ein Systemzugangspunkt oder eine Bibliotheksfunktion mit einer wohldefinierten Syntax. Sie umfasst dokumentierte Methoden, die es Cloud-Kunden ermöglichen, sicher auf den Cloud-Dienst zuzugreifen und mit ihm zu interagieren, wodurch der Austausch von Daten ermöglicht wird.

Diese Schnittstellen und ihre Dokumentation sollten ausreichende Informationen über den Cloud-Dienst enthalten, um die Entwicklung von Software zu ermöglichen, die zum Zweck der Datenportabilität und Interoperabilität mit ihm kommuniziert. Der Cloud-Anbieter ist jedoch nicht verpflichtet, zu diesem Zweck neue Technologien zu entwickeln oder Informationen weiterzugeben, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen.

Während diese Schnittstellen die Mittel zur Kommunikation mit dem Cloud-Dienst bereitstellen, bedeuten sie nicht, dass Cloud-Kunden ihre kundenspezifischen Systeme direkt anschließen können, als wären diese nativ integriert. Stattdessen können Cloud-Kunden ihre Systeme konfigurieren, indem sie Methoden wie API-Aufrufe verwenden und die vom Cloud-Anbieter bereitgestellten festgelegten Protokolle und Datenformate einhalten.

Um eine nahtlose und sichere Kommunikation zwischen Schnittstellen sicherzustellen, verwendet der Cloud-Anbieter branchenübliche API-Protokolle und implementiert dem Stand der Technik entsprechende Transportschichtsicherheit. Der Cloud-Anbieter unterstützt plattformübergreifende Informationsverarbeitung durch den Einsatz von Containerisierungstechnologien und Cloud-Anbieter-agnostischen Entwicklungs-Frameworks. Infrastructure as Code Verfahren werden übernommen, um die Bereitstellung von Infrastruktur zu standardisieren. Gemeinsame Richtlinien zur Datennutzung werden definiert und durchgesetzt, um einen konsistenten und sicheren Zugriff auf Cloud-Kundendaten sowie deren Nutzung und Weitergabe sicherzustellen. Nach Vertragsbeendigung unterstützt der Cloud-Anbieter Cloud-Kunden beim Export und bei der Übertragung ihrer Cloud-Kundendaten, z. B. durch die Bereitstellung technischer Dokumentation und von Datenexportwerkzeugen.

Der Cloud-Anbieter richtet eine Anwendungs-Firewall ein, um die über öffentliche Netze erreichbaren Administrationsschnittstellen für Cloud-Kunden zu schützen.

Ergänzende Informationen

In diesem Kontext ist eine Schnittstelle ein Systemzugangspunkt oder eine Bibliotheksfunktion mit einer wohldefinierten Syntax. Sie umfasst dokumentierte Methoden, die es Cloud-Kunden ermöglichen, sicher auf den Cloud-Dienst zuzugreifen und mit ihm zu interagieren, wodurch der Austausch von Daten ermöglicht wird.

Diese Schnittstellen und ihre Dokumentation sollten ausreichende Informationen über den Cloud-Dienst enthalten, um die Entwicklung von Software zu ermöglichen, die zum Zweck der Datenportabilität und Interoperabilität mit ihm kommuniziert. Der Cloud-Anbieter ist jedoch nicht verpflichtet, zu diesem Zweck neue Technologien zu entwickeln oder Informationen weiterzugeben, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen.

Während diese Schnittstellen die Mittel zur Kommunikation mit dem Cloud-Dienst bereitstellen, bedeuten sie nicht, dass Cloud-Kunden ihre kundenspezifischen Systeme direkt anschließen können, als wären diese nativ integriert. Stattdessen können Cloud-Kunden ihre Systeme konfigurieren, indem sie Methoden wie API-Aufrufe verwenden und die vom Cloud-Anbieter bereitgestellten festgelegten Protokolle und Datenformate einhalten.

Um eine nahtlose und sichere Kommunikation zwischen Schnittstellen sicherzustellen, verwendet der Cloud-Anbieter branchenübliche API-Protokolle und implementiert dem Stand der Technik entsprechende Transportschichtsicherheit. Der Cloud-Anbieter unterstützt plattformübergreifende Informationsverarbeitung durch den Einsatz von Containerisierungstechnologien und Cloud-Anbieter-agnostischen Entwicklungs-Frameworks. Infrastructure as Code Verfahren werden übernommen, um die Bereitstellung von Infrastruktur zu standardisieren. Gemeinsame Richtlinien zur Datennutzung werden definiert und durchgesetzt, um einen konsistenten und sicheren Zugriff auf Cloud-Kundendaten sowie deren Nutzung und Weitergabe sicherzustellen. Nach Vertragsbeendigung unterstützt der Cloud-Anbieter Cloud-Kunden beim Export und bei der Übertragung ihrer Cloud-Kundendaten, z. B. durch die Bereitstellung technischer Dokumentation und von Datenexportwerkzeugen.

Der Cloud-Dienst stellt Cloud-Kunden Schnittstellen für kundenspezifische Identitätsanbieter zur Verfügung, um die Authentisierungsinformationen von Nutzern unter der Verantwortung des Cloud-Kunden zu verwalten. Diese Schnittstellen werden von einem standardisierten Protokoll begleitet, um die Kommunikation zwischen dem Cloud-Dienst und dem externen Identitätsanbieter zu erleichtern.

Ergänzende Informationen

In diesem Kontext ist eine Schnittstelle ein Systemzugangspunkt oder eine Bibliotheksfunktion mit einer wohldefinierten Syntax. Sie umfasst dokumentierte Methoden, die es Cloud-Kunden ermöglichen, sicher auf den Cloud-Dienst zuzugreifen und mit ihm zu interagieren, wodurch der Austausch von Daten ermöglicht wird.

Diese Schnittstellen und ihre Dokumentation sollten ausreichende Informationen über den Cloud-Dienst enthalten, um die Entwicklung von Software zu ermöglichen, die zum Zweck der Datenportabilität und Interoperabilität mit ihm kommuniziert. Der Cloud-Anbieter ist jedoch nicht verpflichtet, zu diesem Zweck neue Technologien zu entwickeln oder Informationen weiterzugeben, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen.

Während diese Schnittstellen die Mittel zur Kommunikation mit dem Cloud-Dienst bereitstellen, bedeuten sie nicht, dass Cloud-Kunden ihre kundenspezifischen Systeme direkt anschließen können, als wären diese nativ integriert. Stattdessen können Cloud-Kunden ihre Systeme konfigurieren, indem sie Methoden wie API-Aufrufe verwenden und die vom Cloud-Anbieter bereitgestellten festgelegten Protokolle und Datenformate einhalten.

Um eine nahtlose und sichere Kommunikation zwischen Schnittstellen sicherzustellen, verwendet der Cloud-Anbieter branchenübliche API-Protokolle und implementiert dem Stand der Technik entsprechende Transportschichtsicherheit. Der Cloud-Anbieter unterstützt plattformübergreifende Informationsverarbeitung durch den Einsatz von Containerisierungstechnologien und Cloud-Anbieter-agnostischen Entwicklungs-Frameworks. Infrastructure as Code Verfahren werden übernommen, um die Bereitstellung von Infrastruktur zu standardisieren. Gemeinsame Richtlinien zur Datennutzung werden definiert und durchgesetzt, um einen konsistenten und sicheren Zugriff auf Cloud-Kundendaten sowie deren Nutzung und Weitergabe sicherzustellen. Nach Vertragsbeendigung unterstützt der Cloud-Anbieter Cloud-Kunden beim Export und bei der Übertragung ihrer Cloud-Kundendaten, z. B. durch die Bereitstellung technischer Dokumentation und von Datenexportwerkzeugen.

Die Schnittstellen sind klar dokumentiert, um sachverständigem Personal des Cloud-Kunden die Integration ihres Identitätsanbieters mit dem Cloud-Dienst zu ermöglichen.

Ergänzende Informationen

In diesem Kontext ist eine Schnittstelle ein Systemzugangspunkt oder eine Bibliotheksfunktion mit einer wohldefinierten Syntax. Sie umfasst dokumentierte Methoden, die es Cloud-Kunden ermöglichen, sicher auf den Cloud-Dienst zuzugreifen und mit ihm zu interagieren, wodurch der Austausch von Daten ermöglicht wird.

Diese Schnittstellen und ihre Dokumentation sollten ausreichende Informationen über den Cloud-Dienst enthalten, um die Entwicklung von Software zu ermöglichen, die zum Zweck der Datenportabilität und Interoperabilität mit ihm kommuniziert. Der Cloud-Anbieter ist jedoch nicht verpflichtet, zu diesem Zweck neue Technologien zu entwickeln oder Informationen weiterzugeben, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen.

Während diese Schnittstellen die Mittel zur Kommunikation mit dem Cloud-Dienst bereitstellen, bedeuten sie nicht, dass Cloud-Kunden ihre kundenspezifischen Systeme direkt anschließen können, als wären diese nativ integriert. Stattdessen können Cloud-Kunden ihre Systeme konfigurieren, indem sie Methoden wie API-Aufrufe verwenden und die vom Cloud-Anbieter bereitgestellten festgelegten Protokolle und Datenformate einhalten.

Um eine nahtlose und sichere Kommunikation zwischen Schnittstellen sicherzustellen, verwendet der Cloud-Anbieter branchenübliche API-Protokolle und implementiert dem Stand der Technik entsprechende Transportschichtsicherheit. Der Cloud-Anbieter unterstützt plattformübergreifende Informationsverarbeitung durch den Einsatz von Containerisierungstechnologien und Cloud-Anbieter-agnostischen Entwicklungs-Frameworks. Infrastructure as Code Verfahren werden übernommen, um die Bereitstellung von Infrastruktur zu standardisieren. Gemeinsame Richtlinien zur Datennutzung werden definiert und durchgesetzt, um einen konsistenten und sicheren Zugriff auf Cloud-Kundendaten sowie deren Nutzung und Weitergabe sicherzustellen. Nach Vertragsbeendigung unterstützt der Cloud-Anbieter Cloud-Kunden beim Export und bei der Übertragung ihrer Cloud-Kundendaten, z. B. durch die Bereitstellung technischer Dokumentation und von Datenexportwerkzeugen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die bereitgestellten Schnittstellen (und deren Sicherheit) durch geeignete Prüfungen vor Beginn der Nutzung des Cloud-Dienstes und jedes Mal, wenn die Schnittstellen geändert werden, für ihren Schutzbedarf angemessen sind.