SIM-04 Dokumentation und Berichterstattung über Sicherheitsvorfälle

Nachdem ein Sicherheitsvorfall bearbeitet wurde, wird die Lösung in Übereinstimmung mit den vertraglichen Vereinbarungen dokumentiert und die Dokumentation wird den betroffenen Cloud-Kunden zur abschließenden Kenntnisnahme oder gegebenenfalls als Bestätigung zugesandt.

Informationen zu Sicherheitsvorfällen oder bestätigten Sicherheitsverstößen werden allen betroffenen Cloud-Kunden zur Verfügung gestellt.

Ergänzende Informationen

Sicherheitsverletzungen im Sinne dieses Kriteriums sind Sicherheitsvorfälle, die durch unbefugten Zugriff und Kompromittierung von Cloud-Kundendaten oder der Diensterbringung infolge von Verstößen gegen Richtlinien und Verfahren oder gegen geltende gesetzliche und regulatorische Anforderungen verursacht werden (vgl. HR-04.02B).

Der Cloud-Kunde kann Lösungen entweder aktiv genehmigen oder die Lösung wird nach einer bestimmten Frist automatisch genehmigt.

Zwischen Cloud-Anbieter und Cloud-Kunden ist vertraglich geregelt, welche Daten dem Cloud-Kunden bei Sicherheitsvorfällen zur eigenen Analyse zur Verfügung gestellt werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie Benachrichtigungen des Cloud-Anbieters bezüglich sie betreffender Sicherheitsvorfälle sowie deren Lösung erhalten, und dass diese Benachrichtigungen zeitnah an die für die Bearbeitung verantwortliche Stelle weitergeleitet werden, sodass eine angemessene Reaktion erfolgen kann.