PI-01.01B

Für die Eingabe- und Ausgabeschnittstellen, über die auf den Cloud-Dienst durch andere Cloud-Dienste oder IT-Systeme von Cloud-Kunden zugegriffen werden kann, entwirft, implementiert und pflegt der Cloud-Anbieter Kontrollen hinsichtlich der folgenden Aspekte:

1. Die Verwendung standardisierter Kommunikationsprotokolle für Interaktionen zwischen verschiedenen Anwendungsschnittstellen, um die Vertraulichkeit und Integrität der übertragenen Informationen entsprechend ihrem Schutzbedarf sowie die angemessene Authentisierung des Nutzers sicherzustellen;

2. Die Verwendung von Verschlüsselung gemäß CRY-02 bei Kommunikation über nicht vertrauenswürdige Netze;

3. Die Verwendung standardisierter Datenformate und gemeinsamer Standards der Datenverarbeitung, um die Interoperabilität der Informationsverarbeitung zu erleichtern;

4. Die Implementierung von Mechanismen zur Validierung der Datenintegrität und zur Etablierung von Sicherungs- und Wiederherstellungsprozessen, um Datensicherheit und Zuverlässigkeit während Austausch, Nutzung und Übertragung sicherzustellen; und

5. Die Bereitstellung aktueller Informationen über die verfügbaren Kommunikationsprotokolle sowie die anwendbaren Datenformate und Standards der Datenverarbeitung.

Ergänzende Informationen

In diesem Kontext ist eine Schnittstelle ein Systemzugangspunkt oder eine Bibliotheksfunktion mit einer wohldefinierten Syntax. Sie umfasst dokumentierte Methoden, die es Cloud-Kunden ermöglichen, sicher auf den Cloud-Dienst zuzugreifen und mit ihm zu interagieren, wodurch der Austausch von Daten ermöglicht wird.

Diese Schnittstellen und ihre Dokumentation sollten ausreichende Informationen über den Cloud-Dienst enthalten, um die Entwicklung von Software zu ermöglichen, die zum Zweck der Datenportabilität und Interoperabilität mit ihm kommuniziert. Der Cloud-Anbieter ist jedoch nicht verpflichtet, zu diesem Zweck neue Technologien zu entwickeln oder Informationen weiterzugeben, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen.

Während diese Schnittstellen die Mittel zur Kommunikation mit dem Cloud-Dienst bereitstellen, bedeuten sie nicht, dass Cloud-Kunden ihre kundenspezifischen Systeme direkt anschließen können, als wären diese nativ integriert. Stattdessen können Cloud-Kunden ihre Systeme konfigurieren, indem sie Methoden wie API-Aufrufe verwenden und die vom Cloud-Anbieter bereitgestellten festgelegten Protokolle und Datenformate einhalten.

Um eine nahtlose und sichere Kommunikation zwischen Schnittstellen sicherzustellen, verwendet der Cloud-Anbieter branchenübliche API-Protokolle und implementiert dem Stand der Technik entsprechende Transportschichtsicherheit. Der Cloud-Anbieter unterstützt plattformübergreifende Informationsverarbeitung durch den Einsatz von Containerisierungstechnologien und Cloud-Anbieter-agnostischen Entwicklungs-Frameworks. Infrastructure as Code Verfahren werden übernommen, um die Bereitstellung von Infrastruktur zu standardisieren. Gemeinsame Richtlinien zur Datennutzung werden definiert und durchgesetzt, um einen konsistenten und sicheren Zugriff auf Cloud-Kundendaten sowie deren Nutzung und Weitergabe sicherzustellen. Nach Vertragsbeendigung unterstützt der Cloud-Anbieter Cloud-Kunden beim Export und bei der Übertragung ihrer Cloud-Kundendaten, z. B. durch die Bereitstellung technischer Dokumentation und von Datenexportwerkzeugen.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

3. Zugehörige Regulierungen

Verknüpfte Vorgänge

• BSI -

  Copyright by Bundesamt für Sicherheit in der Informationstechnik (https://www.bsi.bund.de/)