PSS-02 Identifikation von Schwachstellen des Cloud-Dienstes

Der Cloud-Anbieter überprüft den Cloud-Dienst durch geeignete Verfahren auf Schwachstellen, die durch den Softwareentwicklungsprozess in den Cloud-Dienst einfließen können.

Ergänzende Informationen

Bekannte Schwachstellen in extern bezogenen Systemkomponenten (z. B. Betriebssystemen), die für die Entwicklung und Bereitstellung des Cloud-Dienstes verwendet werden, aber nicht den Softwareentwicklungsprozess des Cloud-Anbieters durchlaufen, sind Gegenstand des Kriteriums OPS-25 (Management von Schwachstellen, Vorfällen und Fehlern - Schwachstellenscans).

Die Verfahren zur Identifkation solcher Schwachstellen sind Teil des Softwareentwicklungsprozesses und umfassen in Abhängigkeit von einer Risikobeurteilung die folgenden Aktivitäten:

1. Statische Code-Analysen;

2. Dynamische Code-Analysen;

3. Code-Reviews durch sachverständiges Personal des Cloud-Anbieters;

4. Durchführung von Sicherheitsprüfungen auf Grundlage einer Liste von Softwarekomponenten oder einer Software Bill of Materials; und

5. Einholen von Information über bestätigte Schwachstellen in Software-Bibliotheken, die von Dritten bereitgestellt und im eigenen Cloud-Dienst genutzten werden.

Ergänzende Informationen

Bekannte Schwachstellen in extern bezogenen Systemkomponenten (z. B. Betriebssystemen), die für die Entwicklung und Bereitstellung des Cloud-Dienstes verwendet werden, aber nicht den Softwareentwicklungsprozess des Cloud-Anbieters durchlaufen, sind Gegenstand des Kriteriums OPS-25 (Management von Schwachstellen, Vorfällen und Fehlern - Schwachstellenscans).

Der Schweregrad identifizierter Schwachstellen wird nach definierten Kriterien beurteilt und Maßnahmen zur zeitnahen Behebung oder Mitigation eingeleitet.

Ergänzende Informationen

Bekannte Schwachstellen in extern bezogenen Systemkomponenten (z. B. Betriebssystemen), die für die Entwicklung und Bereitstellung des Cloud-Dienstes verwendet werden, aber nicht den Softwareentwicklungsprozess des Cloud-Anbieters durchlaufen, sind Gegenstand des Kriteriums OPS-25 (Management von Schwachstellen, Vorfällen und Fehlern - Schwachstellenscans).

Die Verfahren zur Indentifikation solcher Schwachstellen umfassen außerdem jährliche Code-Reviews oder Sicherheits-Penetrationstests durch qualifizierte externe Dritte.

Ergänzende Informationen

Bekannte Schwachstellen in extern bezogenen Systemkomponenten (z. B. Betriebssystemen), die für die Entwicklung und Bereitstellung des Cloud-Dienstes verwendet werden, aber nicht den Softwareentwicklungsprozess des Cloud-Anbieters durchlaufen, sind Gegenstand des Kriteriums OPS-25 (Management von Schwachstellen, Vorfällen und Fehlern - Schwachstellenscans).