|
+PSS-03.01B |
PSS-03.01BDer Cloud-Anbieter stellt durch einen koordinierten Prozess sicher, dass Cloud-Kunden Zugang zu regelmäßig aktualisierten Informationen über bekannte Schwachstellen im Zusammenhang mit dem Cloud-Dienst haben, die die Informationssicherheit des Cloud-Kunden beeinträchtigen können. Dies umfasst: 1. Bekannte ausgenutzte Schwachstellen; 2. Bekannte Schwachstellen, für die ein Patch und/oder Maßnahmen zur Risikomitigation vom Cloud-Anbieter bereitgestellt werden (N-Day-Schwachstellen), mit geeigneten Verweisen auf den Patch/die Maßnahme; und 3. Bekannte Schwachstellen, für die ein Patch und/oder Maßnahmen zur Risikomitigation vom Cloud-Anbieter voraussichtlich nicht bereitgestellt werden (Forever-Day-Schwachstellen), zusammen mit einer Begründung, warum sie nicht bereitgestellt werden. Diese betreffen den bereitgestellten Cloud-Dienst und vom Cloud-Anbieter bereitgestellte Assets, die die Cloud-Kunden innerhalb ihres eigenen Verantwortungsbereichs installieren, bereitstellen oder betreiben müssen. Ergänzende Informationen Dieses Kriterium unterstützt Transparenz im Management von Schwachstellen. Es verlangt vom Cloud-Anbieter, Cloud-Kunden proaktiv über Schwachstellen zu informieren, die aufgrund des Fehlens von Abhilfeoptionen ein Restrisiko darstellen können. Solche Offenlegungen helfen Cloud-Kunden, ihre Exponierung zu bewerten und bei Bedarf kompensierende Kontrollen umzusetzen. Informationen über bekannte ausgenutzte Schwachstellen und bekannte Schwachstellen können beispielsweise Informationen über Schwachstellen in Autorisierungsmechanismen umfassen, die aus dem im Rahmen von PSS-09 durchgeführten Validierungsprozess gewonnen wurden. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|