SP-03 Ausnahmen von bestehenden Richtlinien und Verfahren

Alle Ausnahmen von Richtlinien und Verfahren für die Informationssicherheit werden in einer Liste geführt, einschließlich auch der mit den Ausnahmen verbundenen Kontrollen.

Ergänzende Informationen

Während eines ISO-27001-Zertifizierungsaudits werden die Kontrollen zu diesem Kriterium höchstwahrscheinlich ebenfalls geprüft. Handelt es sich um ein gemeinsames Audit (C5 und ISO), kann hier Effizienz im Sinne von 'audit once, certify many' erzielt werden. Handelt es sich um ein separates Audit, kann der Prüfer des C5-Attestierungsauftrags statt einer erneuten Prüfung der Kontrolle den ISO-Bericht einsehen, sofern die vorgelegten Nachweise hinreichend schlüssig sind.

Ergänzende Informationen

Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel:

1. Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und

2. Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren.

Ausnahmen von den Richtlinien und Verfahren für die Informationssicherheit sowie die jeweiligen Kontrollen durchlaufen Risikomanagementverfahren gemäß OIS-07, einschließlich Genehmigung der Ausnahmen und Akzeptanz der damit einhergehenden Risiken durch die Risikoeigentümer.

Ergänzende Informationen

Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel:

1. Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und

2. Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren.

Die Risikomanagementverfahren gemäß OIS-07 berücksichtigen auch das aggregierte Risiko aus einer Kombination einzelner Ausnahmen.

Ergänzende Informationen

Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel:

1. Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und

2. Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren.

Die Genehmigungen von Ausnahmen werden dokumentiert, mit einer festgelegten Gültigkeit versehen und mindestens jährlich von den Risikoeigentümern oder von der obersten Leitung auf Angemessenheit überprüft. Diese Überprüfung berücksichtigt ebenfalls das aggregierte Risiko aus einer Kombination einzelner Ausnahmen.

Ergänzende Informationen

Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel:

1. Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und

2. Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren.

Ausnahmen von Richtlinien und Verfahren der Informationssicherheit, die zu einer Abweichung (vgl. 3.4.12) von einem anwendbaren C5-Kriterium innerhalb des Geltungsbereichs eines Attestierungsauftrags (vgl. 3.4.1) führen würden, sind nicht zulässig.

Ergänzende Informationen

Dieses Kriterium bezieht sich auf Richtlinien und Verfahren und fordert, dass auf dieser Ebene keine schriftlich niedergelegten Abweichungen von anwendbaren C5-Kriterien zulässig sind.

Ergänzende Informationen

Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel:

1. Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und

2. Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren.

Die Ausnahmen von Richtlinien oder Verfahren werden von der angemessenen Leitungsebene genehmigt.

Ergänzende Informationen

Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel:

1. Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und

2. Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren.

Ergänzende Informationen

Die angemessene Leitungsebene für die Genehmigung ist in den meisten Fällen entweder die Leitungsebene, die die Richtlinien oder Verfahren genehmigt hat, oder die Leitungsebene, an die diese Aufgabe delegiert ist.

Der Cloud-Anbieter überwacht die Liste der Ausnahmen, um das Ablaufen genehmigter Ausnahmen zu verhindern und die Aktualität aller Überprüfungen und Genehmigungen sicherzustellen.

Ergänzende Informationen

Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel:

1. Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und

2. Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren.

Alle Ausnahmen, bei denen während der Überwachung Abweichungen festgestellt wurden, werden durch zeitnahe und angemessene Abhilfemaßnahmen behandelt.

Ergänzende Informationen

Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel:

1. Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und

2. Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie vom Cloud-Anbieter Informationen über Ausnahmen von Richtlinien und Verfahren der Informationssicherheit erhalten, um die damit verbundenen Risiken für ihre eigene Informationssicherheit zu bewerten und angemessen zu steuern.