OIS · Organisation der Informationssicherheit
OIS-04 Aufgabentrennung
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Extended area to be covered by the risk assessment by the cloud service provider's risk management.
Added aspects on which the role, rights and authorities concept (previously: rights profiles, approval and assignment of access and access authorisations) are to be based.
Further qualified the compensating controls to be operated in case a segregation of duties cannot be implemented.
Added requirement to maintain an inventory of conflicting tasks and responsibilities.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
Conflicting tasks and responsibilities are separated based on an OIS-06 risk assessment to reduce the risk of unauthorised or unintended changes or misuse of cloud customer data processed, stored or transmitted in the cloud service.
The risk assessment covers the following areas, insofar as these are applicable to the provision of the Cloud Service and are in the area of responsibility of the Cloud Service Provider:
- Administration of rights profiles, approval and assignment of access and access authorisations (cf. IDM-01);
- Development, testing and release of changes (cf. DEV-01); and
- Operation of the system components.
If separation cannot be established for organisational or technical reasons, measures are in place to monitor the activities in order to detect unauthorised or unintended changes as well as misuse and to take appropriate actions.
Basiskriterium
Miteinander in Konflikt stehende Aufgaben und Verantwortlichkeitsbereiche sind auf Basis einer Risikobeurteilung gemäß OIS-07 getrennt, um Risiken unbefugter oder unbeabsichtigter Änderungen oder Missbrauch von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und Cloud-Anbieterdaten zu reduzieren. Die Risikobeurteilung umfasst folgende Bereiche, soweit diese zur Bereitstellung des Cloud-Dienstes anwendbar sind und im Verantwortungsbereich des Cloud-Anbieters liegen:
- Verwaltung eines Rollen-, Rechte- und Berechtigungsrahmenwerks auf Grundlage einer rollenbasierten Zugriffskontrolle und denr geschäftlichen sowie sicherheitsbezogenen Anforderungen des Cloud-Anbieters (vgl. IAM-01);
- Entwicklung, Test und Freigabe von Änderungen (vgl. DEV-01);
- Risikomanagement (vgl. OIS-07); und
- Betrieb der Systemkomponenten.
Ergänzende Information
Identifizierte Ereignisse, die unbefugte oder unbeabsichtigte Änderungen an oder den Missbrauch von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und Cloud-Anbieterdaten darstellen können, können beispielsweise als Sicherheitsvorfall behandelt werden, vgl. SIM-01.
Der Bereich des Risikomanagements im Kontext der Funktionstrennung bezieht sich auf die sogenannten unterschiedlichen Verteidigungslinien, d. h. Rollen, die Risiken überprüfen (2. Verteidigungslinie), unterscheiden sich von Rollen, die Risiken verantworten (1. Verteidigungslinie).
Mitigierende Maßnahmen werden im Risikobehandlungsplan (vgl. OIS-09) dargelegt und vom Cloud-Anbieter in einer Weise umgesetzt, die der Funktionstrennung Vorrang einräumt.
Wenn eine Funktionstrennung aufgrund organisatorischer oder technischer Einschränkungen nicht umgesetzt werden kann, richtet der Cloud-Anbieter kompensierende Kontrollen ein und betreibt diese, um relevante Aktivitäten zu überwachen. Diese Kontrollen sind darauf ausgelegt, unbefugte oder unbeabsichtigte Änderungen, den Missbrauch von Daten oder Verstöße gegen betriebliche Richtlinien zu erkennen und zeitnahe sowie angemessene Reaktionsmaßnahmen zu ermöglichen.
Ein Verzeichnis bestehend aus im Konflikt stehenden Aufgaben, Verantwortlichkeiten und auflösenden Maßnahmen wird vom Cloud-Anbieter eingerichtet und gepflegt. Bei der Zuweisung, Änderung oder Entziehung von Rollen, Rechten und Berechtigungen setzt der Cloud-Anbieter die Funktionstrennung durch.
Zusatzkriterium
OIS-04.01AC
Zusatz, erweiterndZur Auflösung von im Konflikt stehenden Rollen werden mit der Funktionstrennung verbundene Maßnahmen vom Cloud-Anbieter überwacht und durchgesetzt.
OIS-04.02AC
Zusatz, erweiterndZeitnahe und angemessene Abhilfemaßnahmen adressieren alle bei der Überwachung festgestellten Abweichungen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen