TISAX® Kapitel 5.3.4
Inwieweit sind Informationen in gemeinsam genutzten organisationsfremden IT-Diensten geschützt?
Erschlagen von den Anforderungen? Sie wissen nicht, wie ausführlich Sie bestimmte Anforderungen erfüllen müssen?
Testen Sie jetzt kostenlos & unverbindlich unser TISAX®-Vorlagenpaket.
Ziel
Eine klare Trennung zwischen den einzelnen Mandanten muss sichergestellt sein, so dass die eigenen Informationen in organisationsfremden IT-Diensten jederzeit geschützt werden und dass verhindert wird, dass von weiteren Organisationen (Mandanten) auf sie zugegriffen wird.
Anforderungen
- Muss
- Eine wirksame Trennung (z.B. Mandantentrennung) verhindert, dass von unbefugten Nutzern anderer Organisationen auf die eigenen Informationen zugegriffen wird.
- Sollte
- Das Abgrenzungskonzept des Anbieters ist dokumentiert und wird bei Änderungen angepasst. Die folgenden Aspekte werden berücksichtigt:
- Sollte
- Separierung von Daten, Funktionen, kundenspezifischer Software, Betriebssystem, Speichersystem und Netzwerk
- Sollte
- Risikobewertung für den Betrieb von Fremdsoftware innerhalb der gemeinsam genutzten Umgebung.
Umsetzung
Umsetzung der Muss-Anforderungen
Um sicherzustellen, dass die Informationen in gemeinsam genutzten organisationsfremden IT-Diensten effektiv geschützt sind, ist eine wirksame Trennung wie die Mandantentrennung essenziell. Diese Maßnahme verhindert den Zugriff von unbefugten Nutzern anderer Organisationen auf die eigenen Daten. Implementieren Sie eine technische Lösung, die verschiedene Mandanten klar voneinander abgrenzt und Kontrollmechanismen zur Überprüfung des Zugriffs enthält. Stellen Sie sicher, dass Zugriffsberechtigungen regelmäßig geprüft und aktualisiert werden, um Unbefugten den Zugriff auf sensitive Daten zu verwehren.
Umsetzung der Sollte-Anforderungen
-
Erstellen und pflegen Sie ein detailliertes Abgrenzungskonzept für den Dienstanbieter, das dokumentiert, wie Daten, Funktionen, kundenspezifische Software, Betriebssysteme, Speichersysteme und Netzwerke getrennt werden. Dieses Konzept sollte regelmäßig überprüft und angepasst werden, um mit Änderungen in der Technologienutzung oder organisatorischen Struktur Schritt zu halten.
-
Führen Sie eine gründliche Risikobewertung für den Betrieb von Fremdsoftware in der gemeinsam genutzten Umgebung durch. Berücksichtigen Sie dabei potenzielle Risiken, die durch die Integration und den Betrieb von Software entstehen, die nicht intern entwickelt wurde. Entwickeln Sie Strategien zur Risikominderung, die speziell auf die Sicherheitsanforderungen und -bedrohungen der genutzten Fremdsoftware abgestimmt sind.
