PSS-01 Leitlinien und Empfehlungen für Cloud-Kunden

Der Cloud-Anbieter veröffentlicht Leitlinien und Empfehlungen für Cloud-Kunden hinsichtlich der sicheren Nutzung des bereitgestellten Cloud-Dienstes. Die darin enthaltenen Informationen sollen den Cloud-Kunden bei der sicheren Konfiguration und Nutzung des Cloud-Dienstes sowie, soweit auf den Cloud-Dienst und den Verantwortungsbereich des Cloud-Kunden anwendbar, bei der Umsetzung korrespondierender Kontrollen des Cloud-Kunden unterstützen.

Ergänzende Informationen

In einer Cloud-Umgebung werden Sicherheitsverantwortlichkeiten zwischen dem Cloud-Anbieter und dem Cloud-Kunden geteilt, wobei sie je nach Servicemodel — Infrastructure as a Service (IaaS), Platform as a Service (PaaS) oder Software as a Service (SaaS) — variieren. Leitlinien zu den korrespondierenden Kontrollen helfen Cloud-Kunden, ihre Rollen und Verantwortlichkeiten innerhalb des Shared Responsibility Model auch im Hinblick auf Sicherheits- und Betriebsmanagement zu verstehen (vgl. OIS-03). Durch das Angebot detaillierter Leitlinien werden Cloud-Kunden in die Lage versetzt, die erforderlichen Kontrollen zu verstehen und umzusetzen, die in ihren Verantwortungsbereich fallen. Der Detaillierungsgrad und der Umfang können je nach Art des bereitgestellten Cloud-Dienstes variieren.

Beispiele für defensive Mechanismen sind Payload-Filterung, Traffic Shaping, Load Balancing, Load Shedding und DDoS-Abwehr.

Beispiele für Mechanismen verteilter Weitverkehrsarchitekturen sind Fehlertoleranz durch Replikation, die Vermeidung lokalisierter Ausfälle und Katastrophen durch die Nutzung mehrerer Cloud-Regionen sowie die Verringerung der aufseiten der Cloud-Nutzer wahrgenommenen Latenz durch die geografische Verteilung von Dienstendpunkten.

Die Art und der Umfang der Informationen in den Leitlinien und Empfehlungen für die sichere Nutzung des bereitgestellten Cloud-Dienstes richten sich nach den Bedürfnissen des sachverständigen Personals der Cloud-Kunden, die Informationssicherheitsanforderungen festlegen, umsetzen oder deren Umsetzung überprüfen (z. B. IT, Compliance, Interne Revision). Die Informationen in den Leitlinien und Empfehlungen für die sichere Nutzung des Cloud-Dienstes behandeln, soweit auf den Cloud-Dienst anwendbar, die folgenden Aspekte:

1. Verfahren für eine sichere Konfiguration;

2. Informationsquellen zu bekannten Schwachstellen und Aktualisierungsmechanismen;

3. Malware-Schutz für Container oder virtuelle Maschinen;

4. Mechanismen zur Fehlerbehandlung und Protokollierung;

5. Authentisierungsmechanismen;

6. Rahmenwerk für Rollen und Berechtigungen einschließlich Kombinationen, die zu einem erhöhten Risiko führen;

7. Dienste und Funktionen für die Administration des Cloud-Dienstes durch privilegierte Cloud-Nutzer;

8. Korrespondierende Kontrollen der Cloud-Kunden;

9. Verschlüsselungsmechanismen und -dienste;

10. Verhinderung von Datenabfluss;

11. Sichere Anwendungsentwicklung und sicherer Betrieb auf dem Cloud-Dienst;

12. Anweisungen zur Nutzung und Konfiguration defensiver Mechanismen;

13. Anweisungen zur Nutzung und Konfiguration von Mechanismen verteilter Weitverkehrsarchitekturen;

14. Methoden, die zur Trennung von Kundendaten verwendet werden (vgl. OPS-30 und OPS-31);

15. Wie Cybersicherheitsrisiken im Zusammenhang mit der Nutzung des Cloud-Dienstes durch geeignete Protokollierungs- und Überwachungsmechanismen adressiert werden können; und

16. Eingabe und Ausgabeschnittstellen, über die auf den Cloud-Dienst durch andere Cloud-Dienste oder IT-Systeme von Cloud-Kunden zugegriffen werden kann (vgl. PI-01).

Der Cloud-Anbieter beschreibt in der Cloud-Nutzerdokumentation alle erforderlichen korrespondierenden Kontrollen der Cloud-Kunden und entsprechende Erläuterungen dazu, sodass der Cloud-Kunde über ausreichende Informationen für ein angemessenes Risikomanagement auf seiner Seite verfügt.

Die oben genannten Informationen werden so gepflegt, dass sie auf den bereitgestellten Cloud-Dienst, in der für den produktiven Einsatz vorgesehenen Version, anwendbar sind.

Der Cloud-Anbieter informiert Cloud-Kunden zeitnah über geplante Änderungen am Cloud-Dienst, damit die betroffenen Cloud-Kunden mit organisatorischen und technischen Maßnahmen angemessen reagieren können, bevor die Änderungen wirksam werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Informationen des Cloud-Anbieters verwendet werden, um Richtlinien, Rahmenwerke und Maßnahmen für die sichere Konfiguration und Nutzung (gemäß ihrer eigenen Risikobeurteilung) des Cloud-Dienstes abzuleiten. Die Einhaltung dieser Richtlinien, Rahmenwerke und Maßnahmen wird überprüft. Änderungen an den Informationen werden zeitnah hinsichtlich ihrer Auswirkungen auf diese Dokumente bewertet und erforderliche Änderungen werden umgesetzt.