AM-04 Software-Asset-Inventar
Neu in C5:2026
Basiskriterium
Der Cloud-Anbieter führt ein umfassendes Inventar aller Software-Assets, einschließlich verwendeter Software (vgl. AM-02). Dieses Inventar enthält für jeden Eintrag Informationen, die:
- die Identifizierung des Software-Assets ermöglichen;
- Einblick darin geben, welche anderen Assets das Software-Asset für die Bereitstellung des Cloud-Dienstes verwenden; und
- dem Cloud-Anbieter ermöglichen, das Software-Asset zu kontrollieren, eine Risikobeurteilung durchzuführen und seine Informationssicherheit zu schützen.
Ergänzende Information
Dieses Basiskriterium kann, muss aber nicht, erfüllt werden, indem für jeden Eintrag des Software-Asset-Inventars die folgenden Details aufgenommen werden:
- Identifizierungsdetails (wie Name, IP-Adresse, MAC-Adresse usw.);
- Die Version der Software; und
- Die übergeordnete Ressource (Hardware-Asset oder Software-Asset), auf der die Software installiert ist.
Zusatzkriterium
AM-04.01AC
Zusatz, erweiterndDas Inventar enthält außerdem für jeden Eintrag Informationen, die Einblick darin geben, wie lange das Software-Asset Sicherheitsupdates von seinem Lieferanten erhalten wird, sofern ein solcher Zeitraum vom Lieferanten mitgeteilt wurde.
Ergänzende Information
Dieses Zusatz-Unterkriterium kann, muss aber nicht, erfüllt werden, indem für jeden Eintrag des Software-Asset-Inventars Lizenzinformationen, einschließlich mitgeteilter End-of-Support-Daten in Bezug auf die lizenzierte Software, aufgenommen werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen