PSS-09 Autorisierungsmechanismen

Der Zugriff auf die vom Cloud-Dienst bereitgestellten Funktionen ist durch Zugriffskontrollen (Autorisierungsmechanismen) beschränkt, die überprüfen, ob Cloud-Nutzer, IT-Komponenten oder Anwendungen berechtigt sind, bestimmte Aktionen auszuführen.

Der Cloud-Anbieter validiert die Funktionalität der Autorisierungsmechanismen, bevor neue Funktionen für Cloud-Kunden verfügbar gemacht werden, sowie bei Änderungen an den Autorisierungsmechanismen bestehender Funktionen (vgl. DEV-07).

Falls Validierungsaktivitäten Schwachstellen offenlegen, werden die Verfahren zur Indentifikation von Schwachstellen (vgl. PSS-02) angewendet und Maßnahmen zur zeitnahen Behebung oder Risikomitigation eingeleitet.

Zugriffskontrollen sind attributbasiert, um granulare und kontextbezogene Prüfungen gegen mehrere Attribute eines Cloud-Nutzers, einer IT-Komponente oder einer Anwendung zu ermöglichen (z. B. Rolle, Standort, Authentisierungsmethode).

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass Systemkomponenten unter ihrer Verantwortung regelmäßig auf Schwachstellen überprüft und diese durch geeignete Maßnahmen mitigiert werden.