|
Der Cloud-Anbieter entwirft, implementiert und pflegt Kontrollen, um Transparenz innerhalb seiner Service-Organisationen in Bezug auf die folgenden Aspekte sicherzustellen: 1. Datenflüsse und Schnittstellen zwischen dem Cloud-Anbieter und den vom Cloud-Anbieter genutzten Service-Organisationen sind dokumentiert, einschließlich Maßnahmen zur sicheren Übertragung und Zugriffskontrolle für Daten, die mit Service-Organisationen geteilt werden; und 2. Cloud-Kunden werden über die vom Cloud-Anbieter für Entwicklung und Betrieb des Cloud-Dienstes genutzten Service-Organisationen informiert und darüber, welche Art von Daten diese Service-Organisationen und ihre Subunternehmer verarbeiten. Cloud-Kunden werden darüber informiert, welche der Service-Organisationen selbst Subunternehmer zur Verarbeitung von Cloud-Kundendaten nutzen. Ergänzende Informationen Dieses Kriterium adressiert die Notwendigkeit, Risiken in der Lieferkette zu steuern (z. B. Schwachstellen von Service-Organisationen, Praktiken der Datenverarbeitung, Compliance-Lücken oder Betriebsunterbrechungen) und diese Risiken an Cloud-Kunden zu kommunizieren, damit diese ihre eigenen Risiken in der Lieferkette wirksam überwachen und steuern können.
|