SIM-05 Verpflichtung des Personals zur Meldung von Sicherheitsvorfällen an eine zentrale Stelle

Der Cloud-Anbieter informiert das Personal und externe Geschäftspartner über ihre Verpflichtungen. Falls erforderlich, stimmen sie zu oder werden vertraglich verpflichtet, alle ihnen bekannt werdenden Sicherheitsereignisse, die in direktem Zusammenhang mit dem vom Cloud-Anbieter bereitgestellten Cloud-Dienst stehen, zeitnah an eine zuvor benannte zentrale Stelle des Cloud-Anbieters zu melden.

Der Cloud-Anbieter kommuniziert, dass 'Fehlmeldungen' von Ereignissen, die sich im Nachhinein nicht als Vorfälle herausstellen, keine negativen Folgen nach sich ziehen.

Die Meldemechanismen für Informationssicherheitsvorfälle werden dem Personal, den Cloud-Kunden und den Service-Organisationen des Cloud-Anbieters kommuniziert.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass identifizierte Sicherheitsereignisse, die vom Cloud-Anbieter bearbeitet werden müssen, zeitnah an zuvor benanntes, verantwortliches Personal kommuniziert werden.

Die Identifizierung solcher Sicherheitsereignisse wird durch geeignete Kontrollen unterstützt (vgl. korrespondierendes Kundenkriterium für OPS-10).