AM-01 Rahmenwerk für Asset Management
Neu in C5:2026
Ergänzende Information zu allen Unterkriterien
Assets im Sinne dieses Kriterienbereichs sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übermittlung, Löschung oder Vernichtung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z. B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver.
Diese Objekte bestehen wiederum aus Hardware- und Software-Objekten:
Hardware-Objekte sind:
- Physische und virtuelle Infrastruktur-Ressourcen (z. B. Server, Speichersysteme, Netzkomponenten); und
- Endgeräte, soweit der Cloud-Anbieter in einer Risikobeurteilung festgestellt hat, dass diese bei Verlust oder unautorisierten Zugriffen die Informationssicherheit des Cloud-Dienstes gefährden könnten (z. B. Mobilgeräte, die als Security-Token zur Authentifizierung genutzt werden).
Software-Objekte sind z. B. Hypervisor, Container, Betriebssysteme, Datenbanken, Microservices und Programmierschnittstellen (APIs).
Der Lebenszyklus eines Assets umfasst:
- Anschaffung;
- Inbetriebnahme;
- Instandhaltung;
- Außerbetriebnahme; und
- Entsorgung.
Basiskriterium
Ein Rahmenwerk für Asset Management ist gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, in dem die folgenden Aspekte beschrieben sind:
- Identifizierung von Assets, die verwendet werden, um den Cloud-Dienst in der Produktionsumgebung bereitzustellen;
- Definition eines Schemas zur Ermittlung des Schutzbedarfs auf der Grundlage der Informationen, die auf dem Asset verarbeitet, gespeichert oder übertragen werden;
- Definition von Asset-Typen unter Berücksichtigung mindestens der Unterscheidung zwischen Hardware- und Software-Objekten;
- Definition von Asset-Lebenszyklen auf der Grundlage des Asset-Typs; und
- Definition von Verfahren für die Inventarisierung von Hardware- und Software-Assets.
Zusatzkriterium
AM-01.01AC
Zusatz, erweiterndDie über Assets gesammelten Informationen werden in Logging- und Monitoring-Anwendungen berücksichtigt, um:
- die Auswirkungen auf Cloud-Dienste und -Funktionen im Falle von Ereignissen zu identifizieren, die zu einer Verletzung der Schutzziele führen könnten; und
- Informationen zur Unterstützung betroffener Cloud-Kunden gemäß den vertraglichen Vereinbarungen bereitzustellen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen