ISMS für Managed Service Provider: Mandanten und Dienste schützen
Betriebsverantwortung und Mandanten im ISMS berücksichtigen
Managed Service Provider betreiben Dienste für mehrere Kunden und nutzen dafür häufig zentrale Verwaltungswerkzeuge. Ein Fehler oder kompromittierter Zugang kann deshalb Auswirkungen über einen einzelnen Auftrag hinaus haben. Das ISMS muss sowohl die gemeinsame Betriebsplattform als auch die Trennung der Kundenbereiche berücksichtigen.
Die Servicevereinbarungen sollten klar beschreiben, welche Aufgaben beim Provider und welche beim Kunden liegen. Dazu gehören Überwachung, Reaktion auf Sicherheitsereignisse, Änderungen und die Bereitstellung geeigneter Nachweise.
Mandantentrennung und zentrale Abhängigkeiten prüfen
Wesentliche Prüffelder sind:
- Berechtigungen auf Kundenumgebungen und zentralen Administrationssystemen;
- Trennung von Daten, Sicherungen und Konfigurationen;
- Absicherung und Überwachung privilegierter Zugriffe;
- Zuordnung von Alarmen und Sicherheitsmeldungen;
- Abhängigkeiten von weiteren Dienstleistern und Werkzeuganbietern.
Die gemeinsame Empfehlung von CISA und weiteren Behörden betont kontrollierte Zugänge und transparente Verantwortlichkeiten zwischen MSP und Kunde. Diese Grundsätze sollten in den tatsächlichen Betriebsabläufen erkennbar sein.
Einen kundenübergreifenden Vorfall beherrschbar machen
Beispiel: Ein zentral genutztes Administrationswerkzeug zeigt Auffälligkeiten. Es muss feststehen, wer die Untersuchung führt, Zugänge begrenzen darf und die möglichen Auswirkungen auf einzelne Kunden bewertet. Für die Kommunikation werden bestätigte Erkenntnisse von noch offenen Fragen getrennt.
Ein geregelter Ablauf hilft, technische Maßnahmen und Kundeninformation miteinander abzustimmen. Er ersetzt keine kundenspezifischen Vereinbarungen.
Pflichten gesondert prüfen
Die Aussage, ein MSP benötige grundsätzlich kein verpflichtendes Sicherheitsmanagement, wäre zu pauschal. Für vom BSIG erfasste Einrichtungen bestehen Anforderungen an Risikomanagementmaßnahmen; § 30 nennt ausdrücklich auch Besonderheiten für MSP und MSSP. Ob ein bestimmtes Unternehmen betroffen ist, muss anhand seiner Einordnung und der maßgeblichen Voraussetzungen geprüft werden.
Ein ISO-27001-Zertifikat und die Erfüllung gesetzlicher Pflichten sind dabei getrennt zu beurteilen. Aus dem einen folgt nicht automatisch das andere.
Die betrieblichen Kontrollen für Fernwartung und Kundenkonten sind ein wichtiger Teil dieser Betrachtung. Wer welche Entscheidungen treffen und Vorfälle koordinieren darf, wird in den ISMS-Verantwortlichkeiten festgelegt.
Quellen und fachliche Grundlagen
- AA22-131A – Schutz von Managed Service Providern und ihren Kunden – CISA und internationale Sicherheitsbehörden
- § 30 BSIG – Risikomanagementmaßnahmen – Gesetze im Internet (BMJV / Bundesamt für Justiz)