SSO-03 Datenverarbeitung von Service-Organisationen

Falls sich der Cloud-Anbieter für den Betrieb des Cloud-Dienstes auf Assets eines Lieferanten oder auf Dienstleistungen von Subservice-Organisationen stützt, erlaubt er diesen Lieferanten oder Service-Organisationen keinen Zugriff auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten. Ausnahmen sind nur zulässig, falls der Cloud-Anbieter eine Risikobeurteilung gemäß OIS-07 hinsichtlich der Möglichkeit durchgeführt hat, dass Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten offengelegt werden.

Der Cloud-Anbieter holt vor der Verarbeitung von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten oder Kontodaten die schriftliche Genehmigung des Cloud-Kunden ein, falls er Service-Organisationen einsetzt. Dies kann durch eine Genehmigung des Cloud-Kunden je Service-Organisation oder im Wege einer allgemeinen Vorabgenehmigung zwischen dem Cloud-Anbieter und dem Cloud-Kunden erreicht werden.

Ergänzende Informationen

Dieses Unterkriterium gilt nicht für abgeleitete Cloud-Dienstdaten, die keine kundeneigenen Daten enthalten. Beispiele für solche abgeleiteten Cloud-Dienstdaten sind Betriebskennzahlen oder technische Telemetriedaten.

Falls sich der Cloud-Anbieter für den Betrieb des Cloud-Dienstes auf Assets eines Lieferanten oder auf Dienstleistungen von Subservice-Organisationen stützt, erlaubt er diesen Lieferanten oder Service-Organisationen keinen Zugriff auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten. Ausnahmen sind nur zulässig, falls der Cloud-Anbieter eine Risikobeurteilung gemäß OIS-07 hinsichtlich der Möglichkeit durchgeführt hat, dass Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten offengelegt werden, und sichergestellt ist, dass alle Vorgänge, die Zugriff auf diese Datentypen erfordern, von autorisiertem Personal durchgeführt oder überwacht werden (vgl. HR-01).