PSS-04 Fehlerbehandlungs- und Protokollierungsmechanismen

Der bereitgestellte Cloud-Dienst ist mit Fehlerbehandlungs- und Protokollierungsmechanismen für Systemkomponenten ausgestattet, die in den Verantwortungsbereich des Cloud-Kunden fallen. Diese ermöglichen es Cloud-Kunden, sicherheitsrelevante Informationen über den Sicherheitsstatus des Cloud-Dienstes sowie die von ihm bereitgestellten Daten, Dienste oder Funktionen zu erhalten.

Ergänzende Informationen

Im Gegensatz zum Zusatz-Kriterium von OPS-15, das sowohl Systemkomponenten unter der Verantwortung des Cloud-Anbieters als auch Systemkomponenten unter der Verantwortung des Cloud-Kunden abdeckt, ist der Geltungsbereich dieses Kriteriums strikt auf Systemkomponenten beschränkt, die nur unter der Verantwortung des Cloud-Kunden stehen.

Der Umfang der Protokollierung hängt vom Cloud-Dienst ab. Daher kann es Cloud-Dienste geben, wie SaaS-Dienste, bei denen die Anzahl der Systemkomponenten unter der Verantwortung des Cloud-Kunden sehr begrenzt ist und auf die dieses Kriterium nicht anwendbar ist.

Diese Mechanismen sind so gestaltet, dass sie identifizierte Sicherheitsrisiken im Zusammenhang mit der Nutzung des Cloud-Dienstes adressieren. Der Cloud-Anbieter identifiziert und dokumentiert diese Risiken im Voraus und stellt sicher, dass die implementierten Protokollierungsmechanismen relevante Ereignisse und Aktivitäten erfassen.

Ergänzende Informationen

Im Gegensatz zum Zusatz-Kriterium von OPS-15, das sowohl Systemkomponenten unter der Verantwortung des Cloud-Anbieters als auch Systemkomponenten unter der Verantwortung des Cloud-Kunden abdeckt, ist der Geltungsbereich dieses Kriteriums strikt auf Systemkomponenten beschränkt, die nur unter der Verantwortung des Cloud-Kunden stehen.

Der Umfang der Protokollierung hängt vom Cloud-Dienst ab. Daher kann es Cloud-Dienste geben, wie SaaS-Dienste, bei denen die Anzahl der Systemkomponenten unter der Verantwortung des Cloud-Kunden sehr begrenzt ist und auf die dieses Kriterium nicht anwendbar ist.

Die Informationen sind so detailliert, dass Cloud-Kunden damit die folgenden Aspekte prüfen können, soweit sie auf den Cloud-Dienst anwendbar sind:

1. Auf welche Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten, Dienste oder Funktionen, die dem Cloud-Kunden innerhalb des Cloud-Dienstes zur Verfügung stehen, von wem, wann und von wo zugegriffen wurde (Audit Logs);

2. Störungen beim Verarbeiten von automatischen oder manuellen Aktionen; und

3. Änderungen an sicherheitsrelevanten Konfigurationsparametern, Fehlerbehandlungs- und Protokollierungsmechanismen, Cloud-Nutzerauthentisierung, Aktionsautorisierung, Kryptographie und Kommunikationssicherheit.

Ergänzende Informationen

Im Gegensatz zum Zusatz-Kriterium von OPS-15, das sowohl Systemkomponenten unter der Verantwortung des Cloud-Anbieters als auch Systemkomponenten unter der Verantwortung des Cloud-Kunden abdeckt, ist der Geltungsbereich dieses Kriteriums strikt auf Systemkomponenten beschränkt, die nur unter der Verantwortung des Cloud-Kunden stehen.

Der Umfang der Protokollierung hängt vom Cloud-Dienst ab. Daher kann es Cloud-Dienste geben, wie SaaS-Dienste, bei denen die Anzahl der Systemkomponenten unter der Verantwortung des Cloud-Kunden sehr begrenzt ist und auf die dieses Kriterium nicht anwendbar ist.

Die protokollierten Informationen sind vor unautorisierten Zugriffen und unautorisierten Änderungen geschützt und können vom Cloud-Kunden gelöscht werden.

Ergänzende Informationen

Im Gegensatz zum Zusatz-Kriterium von OPS-15, das sowohl Systemkomponenten unter der Verantwortung des Cloud-Anbieters als auch Systemkomponenten unter der Verantwortung des Cloud-Kunden abdeckt, ist der Geltungsbereich dieses Kriteriums strikt auf Systemkomponenten beschränkt, die nur unter der Verantwortung des Cloud-Kunden stehen.

Der Umfang der Protokollierung hängt vom Cloud-Dienst ab. Daher kann es Cloud-Dienste geben, wie SaaS-Dienste, bei denen die Anzahl der Systemkomponenten unter der Verantwortung des Cloud-Kunden sehr begrenzt ist und auf die dieses Kriterium nicht anwendbar ist.

Ergänzende Informationen

Die Löschung der protokollierten Informationen durch den Cloud-Kunden kann beispielsweise dadurch umgesetzt werden, dass dem Cloud-Kunden ein Prozess zur Beantragung dieser Löschung bereitgestellt wird.

Soweit anwendbar, kann der Cloud-Kunde die Protokollierung aktivieren oder deaktivieren und den Umfang sowie den Detaillierungsgrad der Protokollierung steuern, die der Cloud-Dienst bereitstellt.

Ergänzende Informationen

Im Gegensatz zum Zusatz-Kriterium von OPS-15, das sowohl Systemkomponenten unter der Verantwortung des Cloud-Anbieters als auch Systemkomponenten unter der Verantwortung des Cloud-Kunden abdeckt, ist der Geltungsbereich dieses Kriteriums strikt auf Systemkomponenten beschränkt, die nur unter der Verantwortung des Cloud-Kunden stehen.

Der Umfang der Protokollierung hängt vom Cloud-Dienst ab. Daher kann es Cloud-Dienste geben, wie SaaS-Dienste, bei denen die Anzahl der Systemkomponenten unter der Verantwortung des Cloud-Kunden sehr begrenzt ist und auf die dieses Kriterium nicht anwendbar ist.

Die Protokollierung von Aktionen der Management-Ebene durch die Cloud-Kunden deckt alle relevanten Systeme und Systemkomponenten ab.

Ergänzende Informationen

Im Gegensatz zum Zusatz-Kriterium von OPS-15, das sowohl Systemkomponenten unter der Verantwortung des Cloud-Anbieters als auch Systemkomponenten unter der Verantwortung des Cloud-Kunden abdeckt, ist der Geltungsbereich dieses Kriteriums strikt auf Systemkomponenten beschränkt, die nur unter der Verantwortung des Cloud-Kunden stehen.

Der Umfang der Protokollierung hängt vom Cloud-Dienst ab. Daher kann es Cloud-Dienste geben, wie SaaS-Dienste, bei denen die Anzahl der Systemkomponenten unter der Verantwortung des Cloud-Kunden sehr begrenzt ist und auf die dieses Kriterium nicht anwendbar ist.

Cloud-Kunden können sicherheitsrelevante Informationen über dokumentierte Schnittstellen abrufen, die für die Weiterverarbeitung dieser Informationen im Rahmen ihres Security Information and Event Management (SIEM) geeignet sind.

Ergänzende Informationen

Im Gegensatz zum Zusatz-Kriterium von OPS-15, das sowohl Systemkomponenten unter der Verantwortung des Cloud-Anbieters als auch Systemkomponenten unter der Verantwortung des Cloud-Kunden abdeckt, ist der Geltungsbereich dieses Kriteriums strikt auf Systemkomponenten beschränkt, die nur unter der Verantwortung des Cloud-Kunden stehen.

Der Umfang der Protokollierung hängt vom Cloud-Dienst ab. Daher kann es Cloud-Dienste geben, wie SaaS-Dienste, bei denen die Anzahl der Systemkomponenten unter der Verantwortung des Cloud-Kunden sehr begrenzt ist und auf die dieses Kriterium nicht anwendbar ist.

Falls der Cloud-Dienst mit Fehlerbehandlungs- und Protokollierungsmechanismen ausgestattet ist, müssen Cloud-Kunden diese aktivieren und entsprechend festgelegten Anforderungen konfigurieren. Der Cloud-Kunde muss hierfür sein eigenes Informationssicherheitsmanagement einbeziehen.