|
+SSO-05.02B |
SSO-05.02BDie Überwachung umfasst eine regelmäßige Überprüfung der folgenden Informationen, soweit diese Informationen von Service-Organisationen gemäß den vertraglichen Vereinbarungen bereitzustellen sind: 1. Berichte über die Qualität der Leistungserbringung; 2. Zertifikate über die Konformität der Managementsysteme mit internationalen Standards; 3. Aufzeichnungen der Service-Organisationen über den Umgang mit Schwachstellen, Sicherheitsvorfällen und Vorfällen; 4. Berichte unabhängiger Dritter über die Ausgestaltung und den Betrieb ihres dienstleistungsbezogenen internen Kontrollsystems; und 5. Falls vom Cloud-Anbieter genutzte Service-Organisationen selbst Subunternehmer nutzen, die Einhaltung relevanter vertraglicher, gesetzlicher und regulatorischer Anforderungen durch ihre Subunternehmer. Ergänzende Informationen Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht. Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten: 1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum; 2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu; 3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen; 4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und 5. Angegebene Sicherheitsvorfälle. Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen. Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist. Ergänzende Informationen Bei der Überprüfung der von der Service-Organisation bereitgestellten Informationen sollte der Cloud-Anbieter zwischen fehlerhaften Informationen, die in gutem Glauben erstellt wurden (wie Berichte über mutmaßliche Sicherheitsvorfälle, die sich letztlich als unbegründet herausstellten), und bewusst falschen oder böswilligen Informationen unterscheiden. Die Überwachung von Subunternehmern kann über Audits, Zertifizierungen und Berichte Dritter erfolgen (vgl. SSO-05) und von den Service-Organisationen des Cloud-Anbieters durchgeführt werden. Der Cloud-Anbieter bleibt dafür verantwortlich, die Ergebnisse der Compliance-Überwachung zu überprüfen und das Risiko zu bewerten. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|