COS · Kommunikationssicherheit
COS-03 Überwachung von Verbindungen im Netz des Cloud-Anbieters
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Rephrased the requirement for assessing the configuration of the connections. Removed requirement that the assessment is to be risk-oriented. Further added requirement regarding the review of the configutation.
Linked criterion to security requirements for connections in the cloud service provider's network.
Wortlaut in C5:2020
Basiskriterium
A distinction is made between trusted and untrusted networks. Based on a risk assessment, these are separated into different security zones for internal and external network areas (and DMZ, if applicable). Physical and virtualised network environments are designed and configured to restrict and monitor the established connection to trusted or untrusted networks according to the defined security requirements.
The entirety of the conception and configuration undertaken to monitor the connections mentioned is assessed in a risk-oriented manner, at least annually, with regard to the resulting security requirements.
Identified vulnerabilities and deviations are subject to risk assessment in accordance with the risk management procedure (cf. OIS-06) and follow-up measures are defined and tracked (cf. OPS-18).
At specified intervals, the business justification for using all services, protocols, and ports is reviewed. The review also includes the justifications for compensatory measures for the use of protocols that are considered insecure.
Basiskriterium
Der Cloud-Anbieter unterscheidet zwischen vertrauenswürdigen und nicht vertrauenswürdigen Netzen. Auf Grundlage einer Risikobeurteilung gemäß OIS-07 werden diese in verschiedene Sicherheitszonen für interne und externe Netzbereiche (und DMZ, falls vorhanden) getrennt.
Physische und virtualisierte Netzumgebungen werden so konzipiert und konfiguriert, dass die hergestellte Verbindung zu vertrauenswürdigen oder nicht vertrauenswürdigen Netzen gemäß den definierten Sicherheitsanforderungen eingeschränkt und überwacht wird (vgl. COS-02).
Der Cloud-Anbieter stellt sicher, dass die Konfiguration der Netze den Sicherheitsanforderungen entspricht (vgl. COS-02). Der Cloud-Anbieter überprüft mindestens jährlich und im Falle wesentlicher Änderungen am Cloud-Dienst den Entwurf und die Umsetzung der Konfiguration der Verbindungen im Hinblick auf die definierten Sicherheitsanforderungen.
Ergänzende Information
Die Überprüfung der Sicherheitsanforderungen hängt von den eingerichteten Maßnahmen zur Ausgestaltung der Netze ab und kann z. B. die Überwachung und Durchsicht von Firewall-Regeln oder Protokolldateien auf Auffälligkeiten sowie Sichtprüfungen physischer Netzkomponenten auf Veränderungen umfassen.
Ergänzende Information
Wenn die Überprüfung durch wesentliche Änderungen am Cloud-Dienst verursacht wird, müssen nur der Entwurf und die Umsetzung der Konfiguration der von diesen Änderungen betroffenen Verbindungen in die Überprüfung einbezogen werden.
Identifizierte Schwachstellen und Abweichungen werden gemäß dem Risikomanagementverfahren einer Risikobeurteilung unterzogen (vgl. OIS-07), und Folgemaßnahmen werden definiert und nachverfolgt (vgl. OPS-18).
Ergänzende Information
Die Überprüfung der Sicherheitsanforderungen hängt von den eingerichteten Maßnahmen zur Ausgestaltung der Netze ab und kann z. B. die Überwachung und Durchsicht von Firewall-Regeln oder Protokolldateien auf Auffälligkeiten sowie Sichtprüfungen physischer Netzkomponenten auf Veränderungen umfassen.
In festgelegten Abständen wird die geschäftliche Begründung für die Nutzung aller Dienste, Protokolle und Ports überprüft. Die Überprüfung umfasst auch die Begründungen für kompensierende Maßnahmen für die Nutzung von Protokollen, die als unsicher gelten.
Ergänzende Information
Die Überprüfung der Sicherheitsanforderungen hängt von den eingerichteten Maßnahmen zur Ausgestaltung der Netze ab und kann z. B. die Überwachung und Durchsicht von Firewall-Regeln oder Protokolldateien auf Auffälligkeiten sowie Sichtprüfungen physischer Netzkomponenten auf Veränderungen umfassen.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die virtuellen Netze innerhalb des Cloud-Dienstes, für die sie verantwortlich sind, gemäß ihren Netzsicherheitsanforderungen konzipiert, konfiguriert und dokumentiert werden (z. B. logische Segmentierung der Organisationseinheiten des Cloud-Kunden).
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen