OPS-30 Trennung von Datensätzen - Richtlinien und Verfahren

1 Unterkriterium

Neu in C5:2026

Basiskriterium

OPS-30.01B

Basierend auf einer Risikobeurteilung (vgl. OIS-07) hat der Cloud-Anbieter Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen festgelegt, um die Trennung von Cloud-Kundendaten zwischen verschiedenen Cloud-Kunden sowie zwischen Cloud-Kunden und dem Cloud-Anbieter sicherzustellen. Diese Richtlinien und Verfahren werden gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt und enthalten Spezifikationen zur Mandantentrennung auf der Grundlage eines dokumentierten Cloud-Schichten-Modells und umfassen Folgendes:

Darstellung, welche Cloud-Schichten für den jeweiligen Cloud-Dienst verwendet werden. Die verwendeten Cloud-Schichten sollten geeignet sein, eine Mandantentrennung zu ermöglichen;
Maßnahmen zur Trennung von Cloud-Kundendaten entlang der verwendeten Cloud-Schichten. Diese Maßnahmen werden nach den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit kategorisiert und danach, ob es sich um präventive, detektive oder reaktive Maßnahmen handelt;
Überwachung und Einhaltung dieser Maßnahmen; und
Einleitung geeigneter Maßnahmen bei Abweichungen.

Ergänzende Information

Die Richtlinien und Verfahren dieser Kriterien sollen als übergeordnete Richtlinie für alle Cybersicherheitsmaßnahmen gegen alle Bedrohungen dienen, die aus der gemeinsamen Nutzung physischer oder virtueller Ressourcen resultieren und zu einem Verlust der Trennung von Datensätzen führen. Idealerweise hat der Cloud-Anbieter die Trennung der Datensätze zwischen verschiedenen Cloud-Kunden sowie zwischen Cloud-Kunden und Cloud-Anbieter bereits über alle anderen Richtlinien, Verfahren und die entsprechenden Maßnahmen sichergestellt. Der systematische Ansatz der in diesem Kriterium behandelten Richtlinien und Verfahren stellt sicher, dass kein Aspekt dieser Trennung übersehen wird. Außerdem bietet es eine gute Grundlage, um dem Cloud-Kunden die Cybersicherheit des Cloud-Dienstes ansprechend zu erklären (vgl. PSS-01).

Cloud-Schichten im Sinne dieses Kriteriums finden sich in der *CISA Cloud Security Technical Reference Architecture*. Die in Version 2.0 dieses Dokuments bereitgestellten Schichten umfassen Identitäts-, Anmeldeinformations- und Zugriffsverwaltung, Daten, Netz, Anwendungen, Laufzeit, Middleware, Betriebssysteme, Virtualisierung, Server, Speicher und physische Sicherheit. Der Cloud-Anbieter kann je nach bereitgestelltem Cloud-Dienst seine eigene Kategorisierung von Cloud-Schichten verwenden.

Es gibt neun Kombinationen für Vertraulichkeit, Integrität und Verfügbarkeit mit Prävention, Detektion und Reaktion. Die Anwendung auf jede Cloud-Schicht kann zu einer großen Anzahl von Kombinationen führen. Je nach Cloud-Dienst kann es jedoch akzeptabel sein, dass nicht für jede mögliche Kombination aus Prävention, Detektion und Reaktion sowie Vertraulichkeit, Integrität und Verfügbarkeit aussagekräftige Informationen in der Richtlinie bereitgestellt werden können. Diese Fälle sollten in den Richtlinien und Verfahren nachvollziehbar dokumentiert werden.