OPS-34 Container-Management - Richtlinien und Verfahren

Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen zur Planung und Verwaltung von Containern werden gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt. Diese Richtlinien und Verfahren enthalten Vorgaben für den gesamten Container-Lebenszyklus, die mindestens folgende Aspekte betreffen:

1. Image-Erstellung, -Test und -Validierung;
2. Image-Aufbewahrung und -Abruf;
3. Containerbereitstellung und -verwaltung;
4. Containerbetrieb; und
5. Außerbetriebnahme von Images und Containern.

Die Richtlinien und Verfahren beschreiben Maßnahmen entlang des Lebenszyklus von Containern und adressieren mindestens folgende Aspekte:

1. Container werden nach einem dokumentierten Prozess inventarisiert (vgl. AM-02, AM-03, AM-09);
2. Der Bedarf an Malware-Schutz wird beurteilt und ggf. sichergestellt (vgl. OPS-05);
3. Die Protokollierung und Überwachung von Ereignissen erfolgt entlang des Container-Lebenszyklus und wird gemäß einem definierten Protokollierungsrahmenwerks durchgeführt (vgl. OPS-10, OPS-12);
4. Cloud-Kundendaten werden auf der Grundlage einer Risikobeurteilung getrennt (vgl. OPS-30);
5. Der Zugriff auf den Container-Host sollte gemäß einem Rollen- und Rechterahmenwerk und einer Richtlinie zur Verwaltung des Zugriffs und der Zugriffsberechtigungen erfolgen (vgl. IAM-01, IAM-06);
6. Auf Containern gespeicherte Daten und Daten im Transport sollten vom Anbieter soweit möglich gemäß der Verschlüsselungsrichtlinie (vgl. CRY-01) verschlüsselt werden;
7. Maßnahmen zur Gewährleistung der Netzsicherheit werden festgelegt. Dazu gehören beispielsweise Maßnahmen zur Detektion von Netzanomalien (vgl. COS-01 und COS-03) wie unerwartete Datenflüsse innerhalb des Netzes oder unerwünschte Zugriffsversuche;
8. Änderungen an Containern und Images erfolgen nach einem geregelten Prozess (vgl. DEV-03); und
9. Härtungsprozesse werden nach allgemeinen Branchenstandards durchgeführt, um sicherzustellen, dass keine unnötigen Systemdienste ausgeführt werden (vgl. PSS-11).

Darüber hinaus beschreiben die Richtlinien und Verfahren Maßnahmen entlang des Lebenszyklus von Containern, die mindestens folgende Aspekte adressieren:

1. Container-Images werden kryptographisch signiert und der Signaturschlüssel sicher gespeichert (vgl. CRY-10), um ihre Authentizität und Integrität sicherzustellen;
2. Das Containerverhalten wird mithilfe von Laufzeitsicherheitskontrollen überwacht und eingeschränkt; und
3. Softwareprodukte, die für die Bereitstellung von Container-Images verwendet werden, werden, soweit möglich, regelmäßig auf bekannte Schwachstellen oder schädliche Komponenten in Container-Images und Abhängigkeiten überprüft.