SP-01 Dokumentation, Kommunikation und Bereitstellung von Richtlinien und Verfahren

Richtlinien und Verfahren (einschl. Rahmenwerke und Leitlinien) werden aus der Informationssicherheitsrichtlinie abgeleitet und gemäß einer einheitlichen Struktur dokumentiert. Die Richtlinien und Verfahren beschreiben mindestens die folgenden Aspekte:

1. Ziele;

2. Anwendungsbereiche;

3. Rollen und Verantwortlichkeiten, einschließlich Anforderungen an die Qualifikation des Personals und das Einrichten von Vertretungsregelungen;

4. Rollen und Abhängigkeiten von anderen Organisationen (insbesondere Cloud-Kunden und Subservice-Organisationen);

5. Maßnahmen zur Umsetzung der Sicherheitsstrategie; und

6. Anwendbare rechtliche und regulatorischer Anforderungen.

Ergänzende Informationen

Richtlinien und Verfahren sind für die folgenden Basiskriterien erforderlich, in denen der Inhalt näher spezifiziert ist:

1. Informationssicherheitsrichtlinie (OIS-02);

2. Richtlinie für Risikomanagement (OIS-07);

3. Richtlinie für Remote-Arbeit (HR-07);

4. Rahmenwerk für Asset Management (AM-01);

5. Richtlinie für die ordnungsgemäße und sichere Nutzung von Assets (AM-05);

6. Sicherheitsanforderungen für Gebäude und Räumlichkeiten (PS-01);

7. Physische Zutrittskontrolle (PS-04);

8. Anforderungen an die Sicherheit von Arbeitsplätzen (PS-08);

9. Schutz vor Malware - Richtlinien und Verfahren (OPS-04);

10. Datensicherung und -wiederherstellung - Richtlinien und Verfahren (OPS-06);

11. Protokollierung und Überwachung - Richtlinien und Verfahren (OPS-10);

12. Protokollierung und Überwachung - Richtlinien und Verfahren für den Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten (OPS-11);

13. Umgang mit Schwachstellen - Richtlinien und Verfahren (OPS-18);

14. Umgang mit Vorfällen und Abstürzen - Richtlinien und Verfahren (OPS-19);

15. Umgang mit Schwachstellen - Richtlinien und Verfahren zum Patch-Management (OPS-27);

16. Trennung von Datensätzen - Richtlinien und Verfahren (OPS-30);

17. Confidential Computing - Richtlinien und Verfahren (OPS-32);

18. Container-Management - Richtlinien und Verfahren (OPS-34);

19. Richtlinie für Identitäten und Zugriffsberechtigungen (IAM-01);

20. Authentisierungsmechanismen (Authentisierungsrichtlinie) (IAM-08);

21. Richtlinie für die Verwendung kryptographischer Mechanismen (CRY-01);

22. Technische Schutzmaßnahmen (COS-01);

23. Richtlinien für die Datenübertragung (COS-08);

24. Richtlinien für die Entwicklung/Beschaffung von Systemkomponenten (DEV-01);

25. Richtlinien für Änderungen an Systemkomponenten (DEV-03);

26. Sichere Nutzung von Hardware und Software Dritter (Richtlinien und Verfahren für die Nutzung von Drittanbieter- und Open-Source-Software) (DEV-14);

27. Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen (SSO-01);

28. Steuerung des Austauschs mit Lieferanten funktionaler Komponenten (SSO-08);

29. Richtlinie für den Umgang mit Sicherheitsvorfällen (SIM-01);

30. Business Continuity- und Notfallmanagementsystem (BCM-01);

31. Richtlinie für die Planung und Durchführung von Audits (COM-02); und

32. Kommunikation technischer Verfahren zur Datenoffenlegung bei behördlichen Auskunfts- und Herausgabeverlangen (INQ-04).

Die Richtlinien und Verfahren werden allem relevanten internem und externem Personal des Cloud-Anbieters sach- und bedarfsgerecht kommuniziert und zur Verfügung gestellt.

Ergänzende Informationen

Die sach- und bedarfsgerechte Kommunikation und Bereitstellung sind vor dem Hintergrund der Größe und Komplexität der Organisation des Cloud-Anbieters und der Art des angebotenen Cloud-Dienstes zu beurteilen. Mögliche Kriterien sind:

1. Thematisierung der Richtlinien und Anweisungen in der Einarbeitung neuen Personals;

2. Schulungs- und Informationskampagnen bei der Einführung neuer oder der Überarbeitung bestehender Richtlinien und Verfahren; und

3. Form der Bereitstellung.

Die Richtlinien und Verfahren unterliegen einer Versionskontrolle.

Die Richtlinien und Verfahren werden von der obersten Leitung des Cloud-Anbieters oder einer autorisierten Stelle genehmigt.