DEV · Beschaffung, Entwicklung und Änderung von Informationssystemen

DEV-03 Richtlinien für Änderungen an Systemkomponenten

1 Unterkriterium

Geändert gegenüber C5:2020

Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.

Basiskriterium

Extended aspects to be addressed by the policies by requirements for handling unexpected effects of changes, requirements for the development of security features, and requirements for managing exceptions.

Bullet points are now sorted to ease discussions about specific list items.

Wortlaut in C5:2020

Basiskriterium

Policies and instructions with technical and organisational safeguards for change management of system components of the cloud service within the scope of software deployment are documented, communicated and provided according to SP-01 with regard to the following aspects:

Criteria for risk assessment, categorisation and prioritisation of changes and related requirements for the type and scope of testing to be performed, and necessary approvals for the development/implementation of the change and releases for deployment in the production environment by authorised personnel or system components;
Requirements for the performance and documentation of tests;
Requirements for segregation of duties during development, testing and release of changes;
Requirements for the proper information of cloud customers about the type and scope of the change as well as the resulting obligations to cooperate in accordance with the contractual agreements;
Requirements for the documentation of changes in system, operational and user documentation; and
Requirements for the implementation and documentation of emergency changes that must comply with the same level of security as normal changes.

Alle Änderungen gegenüber C5:2020

Basiskriterium

DEV-03.01B

Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen für das Änderungsmanagement von Systemkomponenten des Cloud-Dienstes im Rahmen der Software-Bereitstellung sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt:

Kriterien zur Risikobeurteilung, Kategorisierung und Priorisierung von Änderungen und damit verbundene Anforderungen an Art und Umfang durchzuführender Tests sowie erforderliche Freigaben für die Entwicklung/Implementierung der Änderung sowie der Freigaben zur Bereitstellung in der Produktionsumgebung durch autorisiertes Personal oder Systemkomponenten;
Anforderungen an die Durchführung und Dokumentation von Tests;
Anforderungen an die Funktionstrennung während Entwicklung, Test und Freigabe von Änderungen;
Anforderungen zur sachgerechten Information der Cloud-Kunden über Art und Umfang der Änderung sowie daraus resultierende Mitwirkungspflichten gemäß den vertraglichen Vereinbarungen;
Anforderungen an die Dokumentation von Änderungen in der System-, Betriebs- und Benutzerdokumentation;
Anforderungen an die Umsetzung und Dokumentation von Notfalländerungen, sodass sie - soweit vernünftigerweise möglich - dem gleichen Sicherheitsniveau wie normale Änderungen entsprechen;
Anforderungen an den Umgang mit unerwarteten Auswirkungen dieser Änderungen, einschließlich Korrekturmaßnahmen;
Anforderungen an verstärkte Tests für die Entwicklung von Sicherheitsfunktionen, die technische Mechanismen und Schutzmaßnahmen implementieren; und
Anforderungen an die Handhabung von Ausnahmen, einschließlich Notfalländerungen, um sicherzustellen, dass damit verbundene Risiken angemessen gemindert werden.

Ergänzende Information

Änderungen im Sinne des Basiskriteriums sind solche, die zu Änderungen an der Konfiguration, Funktionalität oder Sicherheit von Systemkomponenten des Cloud-Dienstes in der Produktionsumgebung führen können. Dies umfasst sowohl Änderungen an der Infrastruktur als auch am Quellcode.

Soweit einzelne Änderungen zur Software-Bereitstellung in einem neuen Release, Update, Patch oder einem vergleichbaren Softwareobjekt zusammengefasst werden, gilt dieses Softwareobjekt als Änderung im Sinne des Basiskriteriums, nicht aber die einzelnen darin enthaltenen Änderungen.

Änderungen an der bestehenden Netzkonfiguration fallen ebenfalls unter dieses Kriterium und sollten ebenfalls ein festgelegtes Verfahren durchlaufen, da sie für eine wirksame Trennung der Cloud-Kunden erforderlich sind.

Änderungen an den Containerumgebungen, einschließlich des Managements von Container-Images und -Versionen, sollten ebenfalls einen geregelten Prozess durchlaufen.

Personal oder Systemkomponenten werden gemäß den Vorgaben für Zugangs- und Zugriffsberechtigungen (vgl. IAM-01) im Rahmen eines geregelten Verfahrens (vgl. IAM-02) für Genehmigungen und Freigaben autorisiert.

Die Mitwirkungspflichten des Cloud-Kunden können festlegen, dass z. B. der Cloud-Kunde bestimmte Tests durchführen muss.

Ein zentralisierter Änderungsmanagementprozess ist nicht verpflichtend. Der Cloud-Anbieter hat die Flexibilität, Änderungsmanagementverfahren anzuwenden, die am besten zu seinen betrieblichen Anforderungen passen, einschließlich agiler Methoden, solange sie die Verfahren und technischen Schutzmaßnahmen einhalten.