AM-12 Wechselmedien und Endgeräte

Auf der Grundlage einer Risikobeurteilung (vgl. OIS-07) entwirft, implementiert und pflegt der Cloud-Anbieter Kontrollen für Endgeräte und Wechselmedien in Bezug auf die folgenden Aspekte:

1. Außer für systemadministrative Aufgaben, für die keine andere Methode verfügbar ist, ist die Nutzung von Wechselmedien verboten;
2. Wechselmedien werden nur für festgelegte, spezifische Zwecke verwendet;
3. Speicher-Verschlüsselung ist auf verwalteten Endgeräten und Wechselmedien (außer solchen, die für unvermeidbare Systemadministrationsmaßnahmen verwendet werden) aktiviert, um Informationen vor unbefugter Offenlegung zu schützen;
4. Verwaltete Endgeräte sind mit Technologien und Diensten zur Erkennung und Verhinderung von Schadsoftware konfiguriert;
5. Selbstausführung von Wechselmedien ist deaktiviert und Speichermedien werden vor der Nutzung auf den Systemen des Cloud-Anbieters gescannt;
6. Von Benutzern sind Maßnahmen zu ergreifen, um mobile Endgeräte und Wechselmedien während des Transports und der Aufbewahrung zu schützen;
7. Der Schutz hinsichtlich Vertraulichkeit und Integrität jeglicher Geräte, die Cloud-Kundendaten enthalten, ist während des Transfers außerhalb des Standorts zur Entsorgung dem Schutz vor Ort gleichwertig;
8. Auf gemeinsam genutzten Geräten gespeicherte Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten werden gemäß CRY-05 verschlüsselt oder unter Verwendung eines sicheren Löschmechanismus vernichtet, bevor die Geräte mit einer dritten Partei geteilt werden;
9. Benutzer haben mobile Endgeräte und Wechselmedien in sicherer Weise zu verwenden; dies umfasst zum Beispiel, Medien nicht offen zugänglich in öffentlichen Räumen liegen zu lassen sowie Bildschirmsperren und Blickschutzfolien zu verwenden; und
10. Maßnahmen zur Aufrechterhaltung einer ordnungsgemäßen Sicherheit von Endgeräten Dritter mit Zugriff auf organisatorische Assets sind zu definieren.

Richtlinien und Verfahren für Endgeräte und Wechselmedien enthalten darüber hinaus die folgenden Aspekte:

1. Verwaltete Endgeräte sind mit geeigneten Software-Firewalls konfiguriert;
2. Verwaltete Endgeräte sind gemäß einer Risikobeurteilung (vgl. OIS-07) mit Technologien und Regeln zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) konfiguriert;
3. Fern-Lokalisierungsfunktionen sind für alle verwalteten mobilen Endgeräte aktiviert; und
4. Prozesse, Verfahren und technische Schutzmaßnahmen definieren, implementieren und bewerten, um die Löschung von Unternehmensdaten aus der Ferne auf verwalteten Endgeräten zu ermöglichen.