CRY-18 Nutzung externer Schlüsselmanagementsysteme

Für den Fall, dass externe Schlüsselmanagementsysteme (KMS) als Option im Cloud-Dienst vorgesehen sind, stellt der Cloud-Anbieter sicher, dass Verfahren und technische Sicherheitsmaßnahmen für die Nutzung externer KMS eingerichtet sind. Dabei werden die folgenden Aspekte berücksichtigt:

1. Die externen KMS verfügen über anerkannte Sicherheitszertifizierungen, die den Stand der Technik widerspiegeln, um rechtliche, regulatorische und vertragliche Anforderungen einzuhalten;
2. Die Integration der externen KMS in die Cloud-Infrastruktur ist sicher, um die Vertraulichkeit, Integrität und Verfügbarkeit der Schlüssel zu gewährleisten;
3. Strenge Zugriffskontrollen werden umgesetzt, um sicherzustellen, dass nur autorisierte Nutzer und Systeme Zugriff auf die Schlüssel haben (vgl. IAM-01);
4. Verfahren für die regelmäßige Rotation und Erneuerung von Schlüsseln werden definiert und umgesetzt, um die Sicherheit der Schlüssel zu gewährleisten (vgl. CRY-07);
5. Alle Zugriffe und Operationen auf die externen KMS werden protokolliert und überwacht, um verdächtige Aktivitäten zu erkennen und darauf zu reagieren; und
6. Der Cloud-Anbieter stellt sicher, dass die externen KMS regelmäßig auf Schwachstellen geprüft (vgl. OPS-25) und aktualisiert (vgl. OPS-28) werden, um aktuellen Bedrohungen und technologischen Entwicklungen zu begegnen.