SP-01.01B

Richtlinien und Verfahren (einschl. Rahmenwerke und Leitlinien) werden aus der Informationssicherheitsrichtlinie abgeleitet und gemäß einer einheitlichen Struktur dokumentiert. Die Richtlinien und Verfahren beschreiben mindestens die folgenden Aspekte:

1. Ziele;

2. Anwendungsbereiche;

3. Rollen und Verantwortlichkeiten, einschließlich Anforderungen an die Qualifikation des Personals und das Einrichten von Vertretungsregelungen;

4. Rollen und Abhängigkeiten von anderen Organisationen (insbesondere Cloud-Kunden und Subservice-Organisationen);

5. Maßnahmen zur Umsetzung der Sicherheitsstrategie; und

6. Anwendbare rechtliche und regulatorischer Anforderungen.

Ergänzende Informationen

Richtlinien und Verfahren sind für die folgenden Basiskriterien erforderlich, in denen der Inhalt näher spezifiziert ist:

1. Informationssicherheitsrichtlinie (OIS-02);

2. Richtlinie für Risikomanagement (OIS-07);

3. Richtlinie für Remote-Arbeit (HR-07);

4. Rahmenwerk für Asset Management (AM-01);

5. Richtlinie für die ordnungsgemäße und sichere Nutzung von Assets (AM-05);

6. Sicherheitsanforderungen für Gebäude und Räumlichkeiten (PS-01);

7. Physische Zutrittskontrolle (PS-04);

8. Anforderungen an die Sicherheit von Arbeitsplätzen (PS-08);

9. Schutz vor Malware - Richtlinien und Verfahren (OPS-04);

10. Datensicherung und -wiederherstellung - Richtlinien und Verfahren (OPS-06);

11. Protokollierung und Überwachung - Richtlinien und Verfahren (OPS-10);

12. Protokollierung und Überwachung - Richtlinien und Verfahren für den Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten (OPS-11);

13. Umgang mit Schwachstellen - Richtlinien und Verfahren (OPS-18);

14. Umgang mit Vorfällen und Abstürzen - Richtlinien und Verfahren (OPS-19);

15. Umgang mit Schwachstellen - Richtlinien und Verfahren zum Patch-Management (OPS-27);

16. Trennung von Datensätzen - Richtlinien und Verfahren (OPS-30);

17. Confidential Computing - Richtlinien und Verfahren (OPS-32);

18. Container-Management - Richtlinien und Verfahren (OPS-34);

19. Richtlinie für Identitäten und Zugriffsberechtigungen (IAM-01);

20. Authentisierungsmechanismen (Authentisierungsrichtlinie) (IAM-08);

21. Richtlinie für die Verwendung kryptographischer Mechanismen (CRY-01);

22. Technische Schutzmaßnahmen (COS-01);

23. Richtlinien für die Datenübertragung (COS-08);

24. Richtlinien für die Entwicklung/Beschaffung von Systemkomponenten (DEV-01);

25. Richtlinien für Änderungen an Systemkomponenten (DEV-03);

26. Sichere Nutzung von Hardware und Software Dritter (Richtlinien und Verfahren für die Nutzung von Drittanbieter- und Open-Source-Software) (DEV-14);

27. Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen (SSO-01);

28. Steuerung des Austauschs mit Lieferanten funktionaler Komponenten (SSO-08);

29. Richtlinie für den Umgang mit Sicherheitsvorfällen (SIM-01);

30. Business Continuity- und Notfallmanagementsystem (BCM-01);

31. Richtlinie für die Planung und Durchführung von Audits (COM-02); und

32. Kommunikation technischer Verfahren zur Datenoffenlegung bei behördlichen Auskunfts- und Herausgabeverlangen (INQ-04).

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

3. Zugehörige Regulierungen

Verknüpfte Vorgänge

• BSI -

  Copyright by Bundesamt für Sicherheit in der Informationstechnik (https://www.bsi.bund.de/)