OPS-27 Umgang mit Schwachstellen - Richtlinien und Verfahren zum Patch-Management

Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen werden gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, um sicherzustellen, dass Systemkomponenten, die in der Verantwortung des Cloud-Anbieters liegen, innerhalb eines angemessenen Zeitrahmens gepatcht werden, abhängig von vertraglichen Vereinbarungen und identifizierten Schwachstellen oder Exploits. Diese Richtlinien und Verfahren enthalten Vorgaben zu folgenden Aspekten:

1. Die Software wird auf dem neuesten Stand gehalten, einschließlich der zeitnahen Bereitstellung von Sicherheitspatches.
2. Patches werden gegebenenfalls innerhalb der Wartungsfenster geplant, um Dienstunterbrechungen zu minimieren; und
3. Patches werden in Nicht-Produktionsumgebungen getestet, bevor sie in der Produktionsumgebung bereitgestellt werden, vorausgesetzt, der Test war erfolgreich. Es sind Mechanismen vorhanden, um bei unerwarteten Problemen auf frühere Softwareversionen zurückgreifen zu können.

Patch-Management-Verfahren sind mit dem gesamten Software-Change-Management-Prozess des Cloud-Anbieters abgestimmt (vgl. DEV-03).

Gemäß den Maßnahmen und Verfahren des gesamten Änderungsmanagement werden von Dritten bereitgestellte Patches identifiziert, getestet und bereitgestellt.

Systeme werden nach der Anwendung von Patches gescannt, um sicherzustellen, dass Schwachstellen und Exploits behoben werden und keine bekannten oder nicht behobenen Schwachstellen oder Exploits eingesetzt werden.

Gemäß den Maßnahmen und Verfahren des gesamten Änderungsmanagements werden von Dritten bereitgestellte Patches identifiziert, getestet und automatisiert bereitgestellt. Für Patches, bei denen ein manueller Eingriff erforderlich ist, wird ein Ausnahmebehandlungsprozess für manuelles Patchen definiert.