Rechtlich-regulatorische Anforderungen an die Systemhärtung und das Sicherheitsniveau
Härtung von Systemkomponenten (SHA-01)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Systemkomponenten in seinem Verantwortungsbereich gemäß allgemein akzeptierten Branchenstandards zu härten. (Vgl. BSI C5:2026 OPS-26)
Überwachung der Systemhärtung (SHA-02)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, Systemkomponenten in seinem Verantwortungsbereich automatisch auf Einhaltung von Vorgaben zur Systemhärtung zu überwachen und Abweichungen automatisch an das dafür zuständige Personal oder die dafür zuständigen Systemkomponenten zu berichten. (Vgl. BSI C5:2026 OPS-26)
Kontrollen der Systemhärtung (SHA-03)
Die DREAM-Lösung muss es den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass die Systemkomponenten in ihrem Verantwortungsbereich gemäß allgemein etablierten und akzeptierten Industriestandards gehärtet sind. (Vgl. BSI C5:2026 OPS-26)
Maßnahmen für Trennungsmechanismen (SHA-04)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Maßnahmen für Trennungsmechanismen zu implementieren, die hinreichend sind, um Systemkomponenten für die Bereitstellung der Cloud-Dienste von den Systemkomponenten anderer Informationssysteme zu trennen, und geeignet sind, um unterschiedliche Kunden voneinander zu trennen. (Vgl. BSI C5:2026 IAM-07)
Separierung von Datenbeständen (SHA-05)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Kundendaten, die auf gemeinsam genutzten virtuellen und physischen Ressourcen gespeichert und verarbeitet werden, strikt zu separieren. (Vgl. BSI C5:2026 OPS-31)
Maßnahmen gegen Bedrohungen der Trennung von Datensätzen (SHA-06)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Maßnahmen gegen Bedrohungen der Trennung von Datensätzen zu implementieren. Diese Maßnahmen können auf die Prävention, Detektion und Reaktion auf trennungswidrige Vorkommnisse abzielen. (Vgl. BSI C5:2026 OPS-31)
Zonierung (SHA-07)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, Ressourcen im Speichernetz (Storage) durch sichere Zonierung (LUN Binding und LUN Masking) zu segmentieren. (Vgl. BSI C5:2026 OPS-31)
Kontrolle der Segregation (SHA-08)
Die DREAM-Lösung muss es den Kunden ermöglichen, die bereitgestellten Funktionen zur Segregation gemeinsam genutzter virtueller und physischer Ressourcen in geeigneter Weise zu kontrollieren. (Vgl. BSI C5:2026 OPS-31)
Integrität und Vertraulichkeit (SHA-09)
Die DREAM-Lösung muss dem Verantwortlichen die Möglichkeit bieten, personenbezogene Daten in einer Weise zu verarbeiten, die eine angemessene Sicherheit der Daten gewährleistet. (Vgl. Art. 5 Abs. 2 lit. f DSGVO)
Vertraulichkeit von Authentisierungsinformationen (SHA-10)
Die DREAM-Lösung muss fähig sein, Authentisierungsinformationen mit einem Sicherheitsniveau zu verwalten, das der Klassifizierung der Systemkomponente, die sie schützen, entspricht oder diese übertrifft. (Vgl. Vgl. BSI C5:2026 IAM-09)
Sicherheitsniveau nicht-personenbezogener Daten (SHA-11)
Die DREAM-Lösung muss fähig sein, für nicht-personenbezogene Daten ein angemessenes Sicherheitsniveau zu gewährleisten. (Vgl. Art. 12 lit. l DGA)
Sicherheitsniveau sensibler wettbewerbsrelevanter Informationen (SHA-12)
Die DREAM-Lösung muss fähig sein, für sensible wettbewerbsrelevante Informationen das höchste Sicherheitsniveau zu gewährleisten. (Vgl. Art. 12 lit. l DGA)
Verhinderung des rechtswidrigen Zugangs (SHA-13)
Die DREAM-Lösung muss fähig sein, den rechtswidrigen Zugang zu nicht-personenbezogenen Daten zu verhindern. (Vgl. Art. 12 lit. j DGA)
Verhinderung der rechtswidrigen Datenweitergabe (SHA-14)
Die DREAM-Lösung muss fähig sein, die rechtswidrige Übertragung nicht-personenbezogener Daten zu verhindern. (Vgl. Art. 12 lit. j DGA)
Betrugsprävention (SHA-15)
Die DREAM-Lösung muss fähig sein, den betrügerischen oder missbräuchlichen Zugriff auf einen Datenvermittlungsdienst zu verhindern. (Vgl. Art. 12 lit. g DGA)
Schutz vor Malware (SHA-16)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Systemkomponenten, die sich in seinem Verantwortungsbereich befinden und in Produktionsumgebungen verwendet werden, gemäß seinen Vorgaben zum Schutz vor Malware zu schützen. (Vgl. BSI C5:2026 OPS-05)
Überwachung von Malware-Schutzmechanismen (SHA-17)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, die Konfiguration der Malware-Schutzmechanismen automatisch zu überwachen und Abweichungen von den Vorgaben automatisch an das dafür zuständige Personal zu berichten. (Vgl. BSI C5:2026 OPS-05)
Updates von Malware-Schutzmechanismen (SHA-18)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, Schutzprogramme zur signatur- und/oder verhaltensbasierten Detektion und Entfernung von Malware regelmäßig mit den neuesten Malware-Definitionen zu aktualisieren (mit der höchsten Häufigkeit, die der jeweilige Anbieter anbietet). (Vgl. BSI C5:2026 OPS-05)
Kontrolle von Malware-Schutzmechanismen durch Kunden (SHA-19)
Die DREAM-Lösung muss es den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass die Ebenen der DREAM-Lösung, die unter ihrer Verantwortung stehen, mit Sicherheitsprodukten zur Erkennung und Beseitigung von Malware versehen sind. (Vgl. BSI C5:2026 OPS-05)