PSS-03 Information der Cloud-Kunden über bekannte Schwachstellen

Der Cloud-Anbieter stellt durch einen koordinierten Prozess sicher, dass Cloud-Kunden Zugang zu regelmäßig aktualisierten Informationen über bekannte Schwachstellen im Zusammenhang mit dem Cloud-Dienst haben, die die Informationssicherheit des Cloud-Kunden beeinträchtigen können. Dies umfasst:

1. Bekannte ausgenutzte Schwachstellen;

2. Bekannte Schwachstellen, für die ein Patch und/oder Maßnahmen zur Risikomitigation vom Cloud-Anbieter bereitgestellt werden (N-Day-Schwachstellen), mit geeigneten Verweisen auf den Patch/die Maßnahme; und

3. Bekannte Schwachstellen, für die ein Patch und/oder Maßnahmen zur Risikomitigation vom Cloud-Anbieter voraussichtlich nicht bereitgestellt werden (Forever-Day-Schwachstellen), zusammen mit einer Begründung, warum sie nicht bereitgestellt werden.

Diese betreffen den bereitgestellten Cloud-Dienst und vom Cloud-Anbieter bereitgestellte Assets, die die Cloud-Kunden innerhalb ihres eigenen Verantwortungsbereichs installieren, bereitstellen oder betreiben müssen.

Ergänzende Informationen

Dieses Kriterium unterstützt Transparenz im Management von Schwachstellen. Es verlangt vom Cloud-Anbieter, Cloud-Kunden proaktiv über Schwachstellen zu informieren, die aufgrund des Fehlens von Abhilfeoptionen ein Restrisiko darstellen können. Solche Offenlegungen helfen Cloud-Kunden, ihre Exponierung zu bewerten und bei Bedarf kompensierende Kontrollen umzusetzen.

Informationen über bekannte ausgenutzte Schwachstellen und bekannte Schwachstellen können beispielsweise Informationen über Schwachstellen in Autorisierungsmechanismen umfassen, die aus dem im Rahmen von PSS-09 durchgeführten Validierungsprozess gewonnen wurden.

Die den Cloud-Kunden bereitgestellten Informationen umfassen, soweit verfügbar, eine Beschreibung anwendbarer und geplanter Abhilfemaßnahmen oder mitigierender Maßnahmen für die identifizierten Schwachstellen.

Diese Schwachstellen werden auch auf Grundlage von Daten aus einer Liste von Softwarekomponenten oder von Daten einer Software Bill of Materials identifiziert.

Ergänzende Informationen

Obwohl der Cloud-Anbieter die Schwachstellen auf Grundlage von einer Liste von Softwarekomponenten oder SBOM-Daten identifizieren muss, um dieses Kriterium zu erfüllen, müssen diese Liste von Softwarekomponenten oder SBOM-Daten zur Erfüllung des Kriteriums nicht an den Cloud-Kunden übergeben werden.

Die Schwachstellen werden mit Verweisen auf die Common Vulnerabilities and Exposures (CVE) dargestellt, und die Bewertungen basieren auf:

1. dem Common Vulnerability Scoring System (CVSS); und

2. dem Exploit Prediction Scoring System (EPSS), der Stakeholder-Specific Vulnerability Categorization (SSVC) oder anderen ähnlichen Bewertungsmetriken

in der zum Zeitpunkt der Bewertung gültigen neuesten Version.

Diese Informationen sind für alle Cloud-Kunden zugänglich und unterstützen deren Risikobeurteilung und Folgemaßnahmen, gegebenenfalls mit Verweisen auf schwachstellenspezifische Maßnahmen.

Ergänzende Informationen

Schwachstellenspezifische Maßnahmen können beispielsweise im 'Vulnerability, Exploitability eXchange' (VEX) oder in den 'Common Security Advisory Frameworks' (CSAF) gefunden werden.

Das Common Vulnerability Scoring System (CVSS) bewertet den Schweregrad identifizierter Schwachstellen (vgl. OPS-18). Das Exploit Prediction Scoring System (EPSS), die Stakeholder-Specific Vulnerability Categorization (SSVC) und andere ähnliche Bewertungsmetriken priorisieren Maßnahmen, die zur Behebung oder Risikomitigation identifizierter Schwachstellen umzusetzen sind. Beide Arten von Systemen sollten im Zusammenspiel verwendet werden.

Der Cloud-Anbieter konsultiert mindestens täglich die Schwachstelleninformationen seiner Lieferanten und Service-Organisationen. Die veröffentlichten Schwachstellen werden hinsichtlich ihrer potenziellen Auswirkungen auf den Cloud-Dienst analysiert und gemäß dem Prozess zur Behandlung von Schwachstellen behandelt (vgl. OPS-18). Falls der Lieferant oder die Service-Organisation keine täglichen Informationen bereitstellt, wird das damit verbundene Risiko gemäß OIS-07 gesteuert.

Ergänzende Informationen

Es kann verschiedene Wege geben, Informationen über Schwachstellen von Lieferanten und Service-Organisationen zu erhalten. Das Kriterium verlangt keinen bestimmten Weg zur Beschaffung dieser Informationen, sondern dass die Informationen mindestens täglich eingeholt werden.

Vom Cloud-Anbieter bereitgestellte Assets, die Cloud-Kunden in ihrem Verantwortungsbereichs selbst installieren, bereitstellen oder betreiben müssen, sind mit automatischen Aktualisierungsmechanismen ausgestattet. Nach einer Freigabe durch den jeweiligen Cloud-Kunden können Softwareaktualisierungen darüber durch den Cloud-Anbieter ausgerollt werden.

Ergänzende Informationen

Vom Cloud-Anbieter bereitgestellte Assets, welche die Cloud-Kunden in ihrem Verantwortungsbereich selbst installieren, bereitstellen oder betreiben müssen, sind beispielsweise lokale Software-Clients und Apps sowie Werkzeuge zur Integration des Cloud-Dienstes.

Falls der Cloud-Dienst auf andere Cloud-Dienste angewiesen ist, sollten diese Informationen die Schwachstellen dieser anderen Cloud-Dienste einbeziehen oder auf sie verweisen, damit dieses Kriterium erfüllt ist.

Schwachstellen werden in Übereinstimmung mit dem Common Security Advisory Framework Version 2.0 oder höher und, wie in der Technischen Richtlinie TR-03191 des BSI festgelegt, offengelegt.

Ergänzende Informationen

Vom Cloud-Anbieter bereitgestellte Assets, welche die Cloud-Kunden in ihrem Verantwortungsbereich selbst installieren, bereitstellen oder betreiben müssen, sind beispielsweise lokale Software-Clients und Apps sowie Werkzeuge zur Integration des Cloud-Dienstes.

Falls der Cloud-Dienst auf andere Cloud-Dienste angewiesen ist, sollten diese Informationen die Schwachstellen dieser anderen Cloud-Dienste einbeziehen oder auf sie verweisen, damit dieses Kriterium erfüllt ist.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die erhaltenen Schwachstelleninformationen zeitnah in ihr eigenes Risikomanagement einfließen, bewertet und, falls erforderlich, im eigenen Verantwortungsbereich berücksichtigt werden.