PS-04.01B

Präventive und detektive physische Zutrittskontrollen in Räumlichkeiten und Gebäuden, mit Bezug zum bereitgestellten Cloud-Dienst, sind implementiert. Sie stehen im Einklang mit den Sicherheitsanforderungen des Cloud-Anbieters (vgl. PS-01) und basieren auf den in IAM-01 definierten Grundsätzen, um unbefugten Zutritt zu verhindern. Sie sind dokumentiert und gemäß SP-01 in einer Richtlinie oder einem Rahmenwerk kommuniziert und umfassen die folgenden Aspekte:

1. Geregeltes Verfahren für die Vergabe und Änderung von Benutzerkonten und Zutrittsberechtigungen (vgl. IAM-02) auf Basis des 'Least-Privilege-Principle' und des 'Need-to-Know-Principle';

2. Sperrung der Zutritts-Berechtigungen, wenn diese über einen Zeitraum von zwei Monaten nicht genutzt wurden. Ausnahmen werden nur in begründeten Einzelfällen gemacht und folgen einem definierten Ausnahmeprozess gemäß SP-03;

3. Authentisierung mit mindestens einem Faktor für den Zutritt zu jedem nicht öffentlichen Bereich;

4. Multifaktor-Authentisierung für den Zutritt zu Bereichen, die Systemkomponenten beherbergen, mit denen Informationen der Cloud-Kunden verarbeitet werden;

5. Vorhandensein und Beschaffenheit einer Protokollierung der Zutritte, die es dem Cloud-Anbieter im Sinne einer Wirksamkeitsprüfung ermöglicht, zu überprüfen, ob nur definiertes Personal die Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst betreten haben;

6. Ausnahmen von der physischen Zutrittskontrolle, die im Notfall gelten, einschließlich eines Analyseverfahrens nach jeder Nutzung dieser Ausnahmen; und

7. Maßnahmen für Besucher und externes Personal, die die Identifizierung und Nachverfolgung jeder einzelnen Person sicherstellen, sodass ihre Aktivitäten nachvollziehbar und – im Fall von Aktivitäten, die die Informationssicherheit beeinträchtigen – innerhalb einer angemessenen Reaktionszeit gestoppt werden können. Diese Maßnahmen sind angemessen und verhältnismäßig zur Sensibilität der Zone, in der sich Besucher oder externes Personal befinden. Der angemessene Reaktionszeitrahmen wird auf der Grundlage einer Risikobewertung bestimmt (vgl. OIS-07).

Ergänzende Informationen

Zur Umsetzung einer Zutrittskontrolle auf der Grundlage des Need-to-Know-Prinzips kann ein Zonierungskonzept eingesetzt werden, bei dem jeder Vor-Ort-Bereich eigene Zutrittsberechtigungen hat. Wenn ein Zonierungskonzept implementiert ist, sollte jeder Vor-Ort-Bereich physisch getrennt sein und über ein eigenes Zutrittskontrollsystem verfügen. Beispiele für eine Zonierung vor Ort können sein:

1. Grüne Zone: Öffentlicher Bereich, enthält keine Ressourcen, die für die Bereitstellung des Cloud-Dienstes relevant sind;

2. Gelbe Zone: Privater Bereich, enthält Mittel zur Unterstützung des Cloud-Dienstes wie Entwicklung, Administration und Überwachung; und

3. Rote Zone: Sensibler Bereich für Produktionssysteme wie die Serverräume.

Beispiele für angemessene Ausnahmen vom Entzug von Zutrittsberechtigungen nach zwei Monaten Inaktivität sind z. B. Fälle, in denen Personal mit bestimmten Rollen, wie Führungspositionen oder Aufsichtspersonen, nur gelegentlich, aber entscheidenden Zutritt benötigt. Die Begründung für die Ausnahmen sollte dokumentiert und bei der Überprüfung kritisch daraufhin bewertet werden, ob sie noch erforderlich sind.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

3. Zugehörige Regulierungen

Verknüpfte Vorgänge

• BSI -

  Copyright by Bundesamt für Sicherheit in der Informationstechnik (https://www.bsi.bund.de/)