|
+SSO-02.01B |
SSO-02.01BService-Organisationen des Cloud-Anbieters unterliegen vor ihrem Einsatz zur Entwicklung oder zum Betrieb des Cloud-Dienstes einer Risikobeurteilung in Übereinstimmung mit den Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen. Die Risikobeurteilung umfasst die Identifizierung, Analyse, Bewertung, Behandlung und Dokumentation von Risiken in Bezug auf die folgenden Aspekte: 1. Schutzbedarf hinsichtlich der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten, die von der Service-Organisation verarbeitet, gespeichert oder übertragen werden; 2. Auswirkungen einer Schutzverletzung auf die Erbringung des Cloud-Dienstes; 3. Die Abhängigkeit des Cloud-Anbieters von der Service-Organisation hinsichtlich Umfang, Komplexität und Einzigartigkeit der erbrachten Dienstleistung, einschließlich der Berücksichtigung möglicher Alternativen; 4. Korrespondierende Kontrollen von Subservice-Organisationen (CSOC), die bei der Ausgestaltung der Kontrollen des Cloud-Anbieters zur Erfüllung der anwendbaren C5-Kriterien vorausgesetzt werden; 5. Abweichungen hinsichtlich der Ausgestaltung und des Betriebs von CSOCs, die bei als Subservice-Organisationen betrachteten Service-Organisationen vorausgesetzt werden, sowie mitigierende Maßnahmen des Cloud-Anbieters zur Behandlung solcher Abweichungen; 6. Die Fähigkeit des Cloud-Anbieters, Bezugsquellen zu diversifizieren und Vendor Lock-in zu begrenzen; 7. Ob vom Cloud-Anbieter genutzte Service-Organisationen selbst unterbeauftragte Service-Organisationen (Subunternehmer) nutzen, die zur Entwicklung und zum Betrieb des Cloud-Dienstes beitragen; und 8. Falls vom Cloud-Anbieter genutzte Service-Organisationen selbst Subunternehmer nutzen, die Arten von Daten, die von den Subunternehmern verarbeitet werden. Ergänzende Informationen Zur Bewertung von Risiken bei Service-Organisationen kann der Cloud-Anbieter koordinierte Sicherheitsrisikobeurteilungen spezifischer kritischer IKT-Dienstleistungen, IKT-Systeme oder IKT-Produkte durchführen, die von Service-Organisationen bereitgestellt werden. Abgesehen von den in diesem Unterkriterium aufgeführten Aspekten sollte eine solche Risikobeurteilung technische und, soweit relevant, nichttechnische Risikofaktoren berücksichtigen. Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation (vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|