ACSC – Cloud-Computing-Sicherheit für Cloud-Serviceanbieter – Überblick der Leitlinien für 2023
Haftungsausschluss
Die bereitgestellten Leitlinien beziehen sich ausschließlich darauf, wie Cloud-Kunden im öffentlichen Sektor sowie Unternehmen, die vom Australian Cyber Security Center (ACSC) als regulierte Unternehmen eingestuft werden, diese Leitlinien in Bezug auf Atlassian-Cloud-Produkte und zugehörige Services anwenden.
Dieser Bericht dient ausschließlich der Information und Anleitung, die Atlassian seinen Cloud-Kunden zur Einhaltung der Cloud-Computing-Sicherheit für Cloud-Serviceanbieter (Cloud Service Providers, CSPs) zur Verfügung stellt. Parallel dazu haben wir ein White Paper mit geteilten Verantwortlichkeiten erstellt, in dem die verschiedenen Verantwortlichkeiten erörtert werden, die sowohl CSPs als auch Kunden betreffen. Das Modell der geteilten Verantwortung entbindet Kunden, die Atlassian Cloud-Produkte verwenden, nicht von der Rechenschaftspflicht und von Risiken, aber es entlastet sie, da wir die Verwaltung und Kontrolle von Systemkomponenten und physischen Kontrollen von Einrichtungen übernehmen. Außerdem verlagert es einen Teil der Kosten für Sicherheit und Compliance auf Atlassian und weg von unseren Kunden.
Um mehr darüber zu erfahren, wie wir Kundendaten schützen, kannst du unsere Seite zu Sicherheitsverfahren besuchen.
Risiko | Referenz | Risikominderung | Antwort von Atlassian |
|---|---|---|---|
| Die effektivste Risikominderung, die generell für alle Arten von Cloud-Services relevant ist. | |||
| Übergeordnetes Versäumnis, die Vertraulichkeit, Integrität und Verfügbarkeit der Mandantendaten zu wahren | Referenz 1 – Allgemein | Risikominderung Bewerte den Cloud-Service und die zugrunde liegende Infrastruktur (in dieser Veröffentlichung wird ausdrücklich auf Maßnahmen zur Risikominderung eingegangen) anhand des ISM [1] für die Klassifizierungsstufe, die für den Umgang mit den Daten des Mandanten erforderlich ist. | Antwort von Atlassian Atlassian verfügt über solide Mechanismen, die die Einhaltung der Data Privacy Framework-Prinzipien sicherstellen.. Personen, die von der Nichteinhaltung dieser Grundsätze betroffen sind, stehen Rechtsmittel zur Verfügung und bei Nichteinhaltung der Prinzipien drohen Konsequenzen. Hierfür werden regelmäßige und Ad-hoc-Selbstbeurteilungen sowie bei Bedarf auch externe Audits und Compliance-Überprüfungen durchgeführt. Besonders hervorzuheben ist hier unsere jährliche Zusammenarbeit mit TrustArc, einem Drittanbieter, der bestätigt, dass unsere Datenschutzpraktiken den Data Privacy Framework-Prinzipien entsprechen. Dieser Drittanbieter steht hinter unserer Selbstzertifizierung und stellt zudem unabhängige Streitschlichtungsservices für Kundenbeschwerden im Zusammenhang mit dem Datenschutz bereit. Wir verfolgen und überwachen die Compliance außerdem mithilfe von Jira-Tickets, die zusammen mit unseren Selbstbeurteilungen, mitunter durchgeführten externen Audits/Compliance-Überprüfungen und allen vorhandenen Behebungsplänen als Audit-Trail verwendet werden können. Wir überwachen die Datenverarbeitungspraktiken und verfügen über ein Programm für Datenschutzverstöße, um Datenschutzvorfälle/-verstöße zu verfolgen. |
|
| Referenz 2. Allgemein | Risikominderung Implementierung einer Sicherheits-Governance, bei der die Geschäftsleitung sicherheitsrelevante Aktivitäten, einschließlich eines soliden Änderungsmanagements, leitet und koordiniert sowie Einsatz von technisch ausgebildetem Personal in definierten Sicherheitsrollen. | Antwort von Atlassian Bala Sathiamurthy ist CISO von Atlassian und in unserer Niederlassung in San Francisco ansässig. Unser Sicherheitsteam besteht aus über 230 Teammitgliedern aus den Bereichen Product Security, Security Intelligence, Security Architecture, Trust, Risk and Compliance und einem Dev- und SRE-Team in unseren Niederlassungen in Sydney, Amsterdam, Austin, Bengarulu, Mountain View, San Francisco und New York sowie einigen Teammitgliedern an Remote-Standorten. |
|
| Referenz 3. Allgemein | Risikominderung Implementieren und jährliches Testen eines Cyber Security Incident Response-Plans, der dem Mandanten Notfallkontaktdaten, Zugriff auf forensische Beweise, auf die er normalerweise nicht zugreifen kann, sowie Benachrichtigung über Vorfälle bereitstellt. | Antwort von Atlassian Wir haben eine dokumentierte Security Incident Response-Richtlinie und einen entsprechenden Plan mit den folgenden Grundprinzipien:
|
| Kompromittierung von Daten eines Mandanten bei der Übertragung durch böswillige Dritte | Referenz 4. Allgemein | Risikominderung Unterstützung und Verwendung von durch das ASD zugelassenen kryptografischen Kontrollen, um Daten bei der Übertragung zwischen dem Mandanten und dem CSP zu schützen, z. B. TLS- oder IPsec-VPN auf Anwendungsebene mit zugelassenen Algorithmen, zugelassener Schlüssellänge und zugelassenem Schlüsselmanagement. | Antwort von Atlassian Alle Kundendaten, die in Atlassian Cloud-Produkten und -Services gespeichert sind, werden bei der Übertragung über öffentliche Netzwerke mithilfe von Transport Layer Security (TLS) 1.2+ mit Perfect Forward Secrecy (PFS) verschlüsselt, um sie vor einer unautorisierten Veröffentlichung oder Modifikation zu schützen. Unsere Implementierung von TLS setzt die Verwendung starker Chiffren und Schlüssellängen voraus, sofern diese vom Browser unterstützt werden. |
| Referenz 5. Allgemein | Risikominderung Verwendung von durch das ASD zugelassenen kryptografischen Kontrollen, um Daten bei der Übertragung zwischen den Rechenzentren des CSP über unsichere Kommunikationskanäle wie die öffentliche Internetinfrastruktur zu schützen. | Antwort von Atlassian Atlassian verfügt über Richtlinien zu Verschlüsselung und Kryptografie sowie zur Implementierung. Diese Richtlinien werden jährlich im Einklang mit unserem Policy Management Program (PMP) überprüft und aktualisiert. Weitere Informationen findest du unter: Unser Atlassian Trust Management System (ATMS) | |
| Referenz 6. Allgemein | Risikominderung Unterstützung und Verwendung von durch das ASD zugelassenen kryptografischen Kontrollen, um ruhende Daten auf Speichermedien für die Übertragung per Post/Kurier zwischen dem Mandanten und dem CSP zu schützen, wenn Daten im Rahmen von Onboarding oder Offboarding übertragen werden. | Antwort von Atlassian Alle Kundendaten, die in Atlassian Cloud-Produkten und -Services gespeichert sind, werden bei der Übertragung über öffentliche Netzwerke mithilfe von Transport Layer Security (TLS) 1.2+ mit Perfect Forward Secrecy (PFS) verschlüsselt, um sie vor einer unautorisierten Veröffentlichung oder Modifikation zu schützen. Unsere Implementierung von TLS setzt die Verwendung starker Chiffren und Schlüssellängen voraus, sofern diese vom Browser unterstützt werden. | |
| Kompromittierung der Anmeldedaten zum Cloud-Service-Konto eines Mandanten durch böswillige Dritte [2] [3] [4] [5] | Referenz 7. Allgemein | Risikominderung Bereitstellen von Identitäts- und Zugriffsmanagement, z. B. Multi-Faktor-Authentifizierung und Kontorollen mit unterschiedlichen Rechten [6], damit der Mandant den Cloud-Service über das Website-Kontrollpanel und die API des CSP nutzen und verwalten kann. | Antwort von Atlassian Ja. Für Confluence und Jira ist die Multi-Faktor-Authentifizierung für einzelne Konten verfügbar. Weitere Informationen darüber, wie du die Multi-Faktor-Authentifizierung aktivierst, findest du unter: Verpflichtende Zwei-Faktor-Authentifizierung |
| Referenz 8. Allgemein | Risikominderung Unterstützung und Verwendung von durch das ASD zugelassenen kryptografischen Kontrollen, um Anmeldedaten und administrative Aktivitäten während der Übertragung zu schützen, wenn der Mandant den Cloud-Service über das Website-Kontrollpanel und die API des CSP nutzt und verwaltet. | Antwort von Atlassian Alle Kundendaten, die in Atlassian Cloud-Produkten und -Services gespeichert sind, werden bei der Übertragung über öffentliche Netzwerke mithilfe von Transport Layer Security (TLS) 1.2+ mit Perfect Forward Secrecy (PFS) verschlüsselt, um sie vor einer unautorisierten Veröffentlichung oder Modifikation zu schützen. Unsere Implementierung von TLS setzt die Verwendung starker Chiffren und Schlüssellängen voraus, sofern diese vom Browser unterstützt werden. | |
| Referenz 9. Allgemein | Risikominderung Option für den Mandanten zum Herunterladen von detaillierten zeitsynchronisierten Protokollen und zum Erhalt von Benachrichtigungen in Echtzeit, die für die Cloud-Service-Konten des Mandanten generiert wurden, über die er auf den Cloud-Service zugreift und ihn verwaltet. | Antwort von Atlassian Wichtige Systemprotokolle werden von jedem System an eine zentrale Protokollplattform weitergeleitet, auf der Protokolle schreibgeschützt sind. Das Atlassian-Sicherheitsteam erstellt auf unserer Plattform für Sicherheitsanalysen (Splunk) Warnmeldungen und überprüft Anzeichen für Kompromittierungen. Unsere SRE-Teams nutzen die Plattform, um Verfügbarkeits- oder Leistungsprobleme zu überwachen. Protokolle werden 30 Tage lang als Hot Backup und 365 Tage als Cold Backup aufbewahrt. | |
| Kompromittierung von Daten eines Mandanten durch böswillige CSP-Mitarbeiter oder böswillige Dritte | Referenz 10. Allgemein | Risikominderung Option für den Mandanten zum Herunterladen von detaillierten zeitsynchronisierten Protokollen und zum Erhalt von Benachrichtigungen in Echtzeit, die von dem vom Mandant verwendeten Cloud-Service generiert werden, z. B. Betriebssystem, Webserver und Anwendungsprotokolle. | Antwort von Atlassian Wir nutzen Casper (https://www.jamf.com) und Osquery (https://osquery.io/) zur Festlegung, was protokolliert wird und wie lange Protokolle aufbewahrt werden. Die Protokolle werden in einem logisch separierten System gespeichert und der Schreibzugriff auf die Protokolle wird auf Mitglieder des Sicherheitsteams beschränkt. Wenn bestimmte Aktionen oder Ereignisse in den Protokollen identifiziert werden, werden Benachrichtigungen an das Sicherheitsteam oder den Servicedesk gesendet. Unser zentraler Protokollierungsservice (Splunk) ist für automatische Analysen in unsere Infrastruktur für Sicherheitsanalysen integriert. Es werden Warnmeldungen erstellt, um potenzielle Probleme zu identifizieren. |
| Referenz 11. Allgemein | Risikominderung Offenlegung der Länder und Rechtsordnungen, in denen die Daten eines Mandanten derzeit oder in den nächsten Monaten von CSP-Mitarbeitern zur Problembehebung, Remote-Verwaltung und Kundenbetreuung gespeichert, gesichert, verarbeitet und abgerufen werden. | Antwort von Atlassian Atlassian verwendet Amazon Web Services (AWS) in den Regionen USA Ost, USA West, Irland, Frankfurt, Singapur und Sydney (Confluence und Jira). Weitere Informationen findest du unter: Cloud-Hosting-Infrastruktur | |
| Referenz 12. Allgemein | Risikominderung Durchführung von Hintergrundüberprüfungen der CSP-Mitarbeiter entsprechend ihrem Grad an Zugriff auf Systeme und Daten. Einhaltung der Sicherheitsfreigaben für Mitarbeiter mit Zugriff auf hochsensible Daten [7]. | Antwort von Atlassian Ja. Weltweit werden neue Atlassian-Mitarbeiter einer Hintergrundüberprüfung unterzogen. Bei neu eingestellten Mitarbeitern infolge einer Übernahme wird nach dem Datum der Übernahme eine Hintergrundüberprüfung durchgeführt. Bei allen neuen Mitarbeitern und unabhängigen Auftragnehmern wird eine Prüfung auf Vorstrafen durchgeführt. Eine Überprüfung der Ausbildung, der bisherigen Beschäftigung oder Bonitätsprüfungen erfolgt zusätzlich, wenn die Position oder das Niveau der Position dies erfordern. Wir führen vollständige Hintergrundüberprüfungen für Führungspositionen und Buchhaltungspositionen durch. | |
| Referenz 13. Allgemein | Risikominderung Nutzung von physisch sichere Rechenzentren und Büros zur Speicherung der Daten eines Mandanten sowie zum Zugriff darauf [8]. Überprüfung und Dokumentation der Identität aller Mitarbeiter und Besucher. Keine unbegleiteten Besucher, um einen unbefugten Zugriff auf Daten zu verhindern. | Antwort von Atlassian Unsere Atlassian-Büros orientieren sich an unserer internen Richtlinien für physische und umgebungsbezogene Sicherheit, einschließlich der Überwachung physischer Ein- und Ausgangspunkte. Unsere Partnerrechenzentren verfügen über mehrere Compliance-Zertifizierungen. Diese Zertifizierungen beziehen sich auf die physische Sicherheit, die Systemverfügbarkeit, den Netzwerk- und IP-Backbone-Zugriff, die Kundenbereitstellung und das Problemmanagement. Der Zugang zu den Rechenzentren ist auf autorisiertes Personal beschränkt und wird durch biometrische Identitätsprüfungen kontrolliert. Vor Ort sorgen außerdem Wachpersonal, Videoüberwachungsanlagen, Zugangsschleusen und weitere Einbruchsschutzmaßnahmen für Sicherheit. AWS verfügt über mehrere Zertifizierungen zum Schutz seiner Rechenzentren. Informationen zur Gewährleistung des physischen Schutzes durch AWS findest du unter: http://aws.amazon.com/compliance/ | |
| Referenz 14. Allgemein | Risikominderung Einschränkung des privilegierten Zugriffs der CSP-Mitarbeiter auf Systeme und Daten auf der Grundlage ihrer Aufgaben [9]. Alle drei Monate Erteilung einer erneuten Genehmigung für CSP-Mitarbeiter, die privilegierten Zugriff benötigen. Widerruf des Zugriffs bei Kündigung der Anstellung eines CSP-Mitarbeiters. | Antwort von Atlassian Atlassian beschränkt weiterhin die Mitarbeiter, die diesen Zugriff für ihre berufliche Rolle und ihre Aufgaben benötigen. Alle Tier-1-Systeme werden über die zentrale Single Sign-On (SSO)- und Verzeichnislösung von Atlassian verwaltet. Benutzer erhalten auf der Grundlage dieser Profile angemessene Zugriffsrechte, die über Workflow aus unserem Personalverwaltungssystem gesteuert werden. Atlassian nutzt MFA für den Zugriff auf alle Tier-1-Systeme. Wir haben die Zwei-Faktor-Authentifizierung für die Hypervisor-Managementkonsole und die AWS-API sowie einen täglichen Auditbericht über den gesamten Zugriff auf die Hypervisor-Verwaltungsfunktionen aktiviert. Die Zugriffslisten für die Hypervisor-Managementkonsole und die AWS-API werden vierteljährlich überprüft. Wir führen außerdem eine 8-stündige Synchronisation zwischen unserem HR-System und unserem Identitätsspeicher durch. | |
| Referenz 15. Allgemein | Risikominderung Umgehende Analyse der Protokolle zu den Aktionen der CSP-Mitarbeiter, die auf einem sicheren und isolierten Protokollserver protokolliert werden. Implementierung einer Aufgabentrennung, indem die Protokollanalyse von CSP-Mitarbeitern durchgeführt wird, die keine anderen Privilegien oder beruflichen Rollen haben. | Antwort von Atlassian Für die Kernprodukte von Atlassian gibt es Kontrollen zur Funktionstrennung, die unter anderem Folgendes beinhalten:
| |
| Referenz 16. Allgemein | Risikominderung Durchführung einer Sorgfaltspflichtprüfung der Lieferanten vor der Inanspruchnahme von Software, Hardware oder Services, um die potenzielle Erhöhung des Sicherheitsrisikoprofils des CSP einzuschätzen. | Antwort von Atlassian Neue Anbieter von Atlassian müssen unserem Datenschutz- und Sicherheitszusatz sowie den entsprechenden Richtlinien in unseren Verträgen zustimmen. Die Rechts- und Beschaffungsabteilungen von Atlassian überprüfen Verträge, SLAs und interne Anbieterrichtlinien, um sicherzustellen, dass der Anbieter die Anforderungen zu Sicherheit, Verfügbarkeit und Vertraulichkeit einhält. Atlassian pflegt die folgende öffentlich zugängliche Seite: Liste der Daten-Unterauftragsverarbeiter | |
| Referenz 17. Allgemein | Risikominderung Verwendung von durch das ASD zugelassenen kryptografischen Kontrollen, um hochsensible Daten im Ruhezustand zu schützen. Bereinigung von Speichermedien vor der Reparatur, Entsorgung und dem Offboarding eines Mandanten mit einer Geheimhaltungsvereinbarung für Daten in verbleibenden Backups. | Antwort von Atlassian Das Workplace Technology-Team ist für diesen Prozess zuständig. Die Geräte und Medien werden bereinigt und ggf. entmagnetisiert. Atlassian hat keine Kontrolle über physische Medien, die unsere Cloud-Produkte und -Services unterstützen. | |
| Kompromittierung von Daten des Mandanten durch einen anderen böswilligen/kompromittierten Mandanten [10] [11] [12] [13] [14] [15] [16] [17] [18] | Referenz 18. Allgemein | Risikominderung Implementierung von Mechanismen für mehrere Mandanten, um zu verhindern, dass andere Mandanten auf die Daten des Mandanten zugreifen. Isolierung von Netzwerkverkehr, Speicher, Arbeitsspeicher und Computerverarbeitung. Bereinigung von Speichermedien vor der Wiederverwendung. | Antwort von Atlassian Atlassian ist eine mehrmandantenfähige SaaS-Anwendung. Mehrmandantenfähigkeit ist eine wichtige Funktion von Atlassian Cloud, die es mehreren Kunden ermöglicht, eine Instanz der Jira- oder Confluence-Anwendungsebene gemeinsam zu nutzen, wobei die Anwendungsdaten ihres jeweiligen Mandanten isoliert werden. Atlassian Cloud erreicht dies durch den Tenant Context Service (TCS). Jede Benutzer-ID ist mit genau einem Mandanten verknüpft, der dann für den Zugriff auf die Atlassian Cloud-Anwendungen verwendet wird. Weitere Informationen findest du unter: Sicherheitsverfahren |
| Die Daten des Mandanten sind aufgrund von Kompromittierung, Löschung [19] oder Konto-/Servicekündigung durch den CSP nicht verfügbar. | Referenz 19 – Allgemein | Risikominderung Ermögliche dem Mandanten die Durchführung aktueller Backups in einem Format, durch das keine Bindung an einen CSP entsteht. Wenn ein Konto oder ein Cloud-Service gekündigt wird, informiere den Mandanten umgehend und gib ihm mindestens einen Monat Zeit, um seine Daten herunterzuladen. | Antwort von Atlassian Atlassian unterhält einen Standard zur Aufbewahrung und Vernichtung von Daten, der festlegt, wie lange wir Daten verschiedener Arten aufbewahren müssen. Daten werden gemäß der Atlassian-Richtlinie für Datensicherheit und Information Lifecycle Management und den darauf aufbauenden Kontrollen klassifiziert. Was Kundendaten betrifft, so werden bei Kündigung eines Atlassian-Vertrags die Daten eines Kundenteams aus der Live-Produktionsdatenbank entfernt. Alle direkt bei Atlassian hochgeladenen Dateianhänge werden innerhalb von 14 Tagen entfernt. Die Daten des Teams verbleiben in verschlüsselten Backups, bis der 60-tägige Aufbewahrungszeitraum für diese Backups überschritten ist und sie gemäß den Atlassian-Richtlinien zur Datenaufbewahrung vernichtet werden. Für den Fall, dass innerhalb von 60 Tagen nach einer angeforderten Datenlöschung eine Datenbankwiederherstellung erforderlich ist, wird das Operations-Team die Daten so schnell wie möglich erneut löschen, wenn das Live-Produktionssystem vollständig wiederhergestellt ist. Weitere Informationen findest du unter: Speicher überwachen und Daten zwischen Produkten verschieben. |
| Die Daten des Mandaten sind aufgrund der Insolvenz des CSP oder anderer rechtlicher Schritte nicht verfügbar oder kompromittiert. | Referenz 20 – Allgemein | Risikominderung Stelle vertraglich sicher, dass der Mandant das rechtliche Eigentum an seinen Daten behält. | Antwort von Atlassian Atlassian-Kunden sind weiterhin dafür verantwortlich, sicherzustellen, dass ihre Nutzung unseres Service gemäß den geltenden Gesetzen und Vorschriften erfolgt. Weitere Informationen zu unseren spezifischen rechtlichen Vereinbarungen und Richtlinien findest du auf unserer Seite mit rechtlichen Ressourcen: https://www.atlassian.com/legal. |
| Der Cloud-Service ist aufgrund unzureichender Netzwerkkonnektivität des CSP nicht verfügbar. | Referenz 21 – Allgemein | Risikominderung Sorge für angemessene Bandbreite, niedrige Latenz und zuverlässige Netzwerkkonnektivität zwischen dem Mandanten und dem Cloud-Service, um das vom Mandanten geforderte Verfügbarkeitsniveau zu erfüllen. | Antwort von Atlassian Wir überwachen alle Cloud-Instanzen auf Leistung und Verfügbarkeit, aber bieten derzeit kein formelles Service Level Agreement (SLA) für die Anwendungsverfügbarkeit an. Unser Support-Team verfügt über ein SLA zur Erstreaktionszeit. Für die Behebung durch unseren Support gibt es zwar kein offizielles SLA, wir versuchen aber, alle zugewiesenen Fälle innerhalb von 48 Stunden zu beheben. Auf der folgenden Seite bietet Atlassian Statistiken zum aktuellen Status des Cloud-Systems: https://status.atlassian.com. |
| Der Cloud-Service ist aufgrund eines CSP-Fehlers, eines geplanten Ausfalls, eines Hardwarefehlers oder aufgrund von höherer Gewalt nicht verfügbar. | Referenz 22 – Allgemein | Risikominderung Die Lösung ist so zu entwickeln, dass die vom Mandanten geforderte Verfügbarkeitsstufe erfüllt wird. Beispiele: minimale Single Points of Failure, Clustering und Lastenausgleich, Datenreplikation, automatisches Failover und Verfügbarkeitsüberwachung in Echtzeit. | Antwort von Atlassian Die Business Continuity- und Disaster Recovery-Pläne für unsere Atlassian Cloud-Services werden mindestens vierteljährlich getestet. Die Verfügbarkeit in mehreren Regionen wird in Echtzeit überwacht. Jede Woche werden in der Vorproduktionsumgebung automatische regionale Failover-Tests durchgeführt. In der Produktionsumgebung werden täglich automatisierte Tests zur Wiederherstellung der Konfigurationsdaten durchgeführt. |
| Referenz 23 – Allgemein | Risikominderung Entwickle und teste jedes Jahr einen Disaster-Recovery- und Business-Continuity-Plan, um die vom Mandanten geforderte Verfügbarkeitsstufe zu erfüllen. Beispiele: Maßnahmen bei Vorfällen, die zum dauerhaften Verlust von CSP-Mitarbeitern oder Infrastruktur führen. | Antwort von Atlassian Eine Richtlinie für Business Continuity und Disaster Recovery sowie ein Plan für Business Continuity und Disaster Recovery sind vorhanden und werden jährlich von den dafür zuständigen Ausschüssen überprüft. Besitzer von unternehmenskritischen Systemen, Prozessen oder Services müssen im Falle einer Katastrophe und im Rahmen festgelegter Störungstoleranzen eine ordnungsgemäße Business Continuity und/oder Disaster Recovery sicherstellen. Entsprechende Pläne werden vierteljährlich geprüft, um Probleme zu identifizieren und zu beheben. Weitere Informationen findest du unter Sicherheitsverfahren und Der Resilienz-Ansatz von Atlassian. | |
| Der Cloud-Service ist aufgrund eines echten Anstiegs der Nachfrage oder aufgrund eingeschränkter Bandbreite/CPU-Leistung durch einen Denial-of-Service-Angriff nicht verfügbar. | Referenz 24 – Allgemein | Risikominderung Implementiere Denial-of-Service-Schutzmaßnahmen, um die vom Mandanten geforderte Verfügbarkeitsstufe zu erfüllen, z. B. redundante externe und interne Netzwerkkonnektivität mit hoher Bandbreite mit Drosselung und Filterung des Datenverkehrs. | Antwort von Atlassian Atlassian Security Engineering verwendet IPS-Technologien, die in unsere Büroumgebungen implementiert sind. Der Schutz vor Netzwerkbedrohungen wird von AWS durchgeführt, einschließlich DDoS-Schutz und einiger Firewall-Funktionen für Webanwendungen. |
| Referenz 25 – Allgemein | Risikominderung Stelle Infrastrukturkapazität und reaktionsschnelle automatische Skalierung zur Verfügung, um das vom Mandanten geforderte Verfügbarkeitsniveau zu erfüllen. | Antwort von Atlassian Atlassian plant die Kapazität 6–12 Monate im Voraus, wobei die grobe perspektivische Planung auf 36 Monate ausgelegt ist. | |
| Finanzielle Folgen eines echten Anstiegs der Nachfrage oder einer Einschränkung der Bandbreite/CPU-Leistung durch einen Denial-of-Service-Angriff. | Referenz 26 – Allgemein | Risikominderung Biete dem Mandanten die Möglichkeit, die Kosten eines echten Anstiegs der Nachfrage oder eines Denial-of-Service-Angriffs über vertragliche Ausgabenlimits, Benachrichtigungen in Echtzeit und konfigurierbare Limits für die Nutzung der Infrastrukturkapazität des CSP zu verwalten. | Antwort von Atlassian Unsere SaaS-Angebote stellen wir Kunden nicht nutzungsbasiert in Rechnung. Derzeit geben wir Kapazitäts- oder Benutzerberichte nicht an Mandanten weiter. |
| Die Infrastruktur des CSP wurde durch einen böswilligen Mandanten oder einen böswilligen Dritten kompromittiert. | Referenz 27 – Allgemein | Risikominderung Verwende vom Unternehmen zugelassene und gesicherte Computer, Jump-Server, dedizierte Konten, sichere Passphrasen und Multifaktor-Authentifizierung, um Kundensupport bereitzustellen und Cloud-Services und -Infrastruktur zu verwalten. | Antwort von Atlassian Mitarbeiter müssen 2FA (sofern verfügbar) und einen Passwortmanager mit zufallsgenerierten, sicheren Passwörtern verwenden. Autorisierte Mitarbeiter greifen auf die Produktionsumgebung zu, indem sie sich mit eindeutigen, starken Passwörtern und TOTP-basierter 2FA beim VPN authentifizieren und dann ausschließlich über SSH-Terminalverbindungen mit durch Passphrasen geschützte persönliche RSA-Zertifikate. SSO, SSH, 2FA und VPN sind erforderlich. |
| Referenz 28 – Allgemein | Risikominderung Verwende von ASD zugelassene kryptografische Kontrollen, um Anmeldedaten und administrative Aktivitäten während der Übertragung über unsichere Kommunikationskanäle zwischen dem Rechenzentrum des CSP und dem CSP-Administrator bzw. den Kundensupportmitarbeitern zu schützen. | Antwort von Atlassian Alle Kundendaten, die in Atlassian-Cloud-Produkten und -Services gespeichert sind, werden bei der Übertragung über öffentliche Netzwerke mithilfe von Transport Layer Security (TLS) 1.2+ mit Perfect Forward Secrecy (PFS) verschlüsselt, um sie vor einer unautorisierten Veröffentlichung oder Modifikation zu schützen. Unsere Implementierung von TLS setzt die Verwendung starker Chiffren und Schlüssellängen voraus, sofern diese vom Browser unterstützt werden. | |
| Referenz 29 – Allgemein | Risikominderung Implementiere Netzwerksegmentierung und -trennung [20] zwischen dem Internet, der von Mandanten genutzten CSP-Infrastruktur, dem Netzwerk, das der CSP zur Verwaltung von Cloud-Services und -Infrastruktur verwendet, und dem Unternehmens-LAN des CSP. | Antwort von Atlassian Kundendaten dürfen niemals außerhalb der Produktionsumgebung repliziert werden, die sich auf den sicheren Servern von AWS befindet. Es gibt strenge Firewall-Regeln, die den Zugriff auf die Produktionsumgebung auf unser VPN-Netzwerk und autorisierte Systeme einschränken. VPN erfordert eine Multifaktor-Authentifizierung. Für die Kernprodukte von Atlassian gibt es Kontrollen zur Funktionstrennung, die unter anderem Folgendes beinhalten:
| |
| Referenz 30 – Allgemein | Risikominderung Nutze sichere Programmierverfahren für Software, die vom CSP entwickelt wurde [21] [22] [23]. | Antwort von Atlassian Atlassian verwendet in allen Phasen des Entwicklungslebenszyklus sichere Entwicklungspraktiken. Weitere Informationen findest du unter: Sicherheit in der Softwareentwicklung bei Atlassian. | |
| Referenz 31 – Allgemein | Risikominderung Sorge für eine sichere Konfiguration, laufendes Schwachstellenmanagement, schnelles Patchen, jährliche Sicherheitsüberprüfungen durch Dritte und Penetrationstests der Cloud-Services und der zugrunde liegenden Infrastruktur. | Antwort von Atlassian Wir beauftragen externe Beratungsunternehmen mit der Durchführung jährlicher Penetrationstests für nach außen gerichtete Anwendungen. Wir ergänzen diese Tests auch durch kleinere, fortlaufende Sicherheitstests, die von unserem internen Sicherheitstestteam durchgeführt werden. Die Bewertungsschreiben für diese Penetrationstests sowie weitere Informationen zu unserem Testprozess findest du hier: Ansatz für externe Sicherheitstests | |
| Referenz 32 – Allgemein | Risikominderung Schule alle CSP-Mitarbeiter, insbesondere Administratoren, zu Beginn des Arbeitsverhältnisses und danach jedes Jahr in diesen Bereichen: Schutz von Mandantendaten, Aufrechterhaltung der Verfügbarkeit von Cloud-Services und proaktive Erkennung von Sicherheitsvorfällen, z. B. per Prompt-Protokollanalyse. | Antwort von Atlassian Atlassian bietet Schulungen zur Informationssicherheit als Bestandteil des Onboardings ("Rocketfuel") für neue Mitarbeiter und fortlaufend für alle Mitarbeiter. Neue Mitarbeiter und Auftragnehmer müssen eine Vertraulichkeitsvereinbarung unterzeichnen, bevor sie für das Unternehmen arbeiten. Im Falle eines Technologiewechsels oder einer anderen größeren Umstellung werden Kurse für bestehende Mitarbeiter über unser Intranet zur Verfügung gestellt und angekündigt. | |
| Effektivste Risikominderung (besonders relevant für IaaS) | |||
| Der virtuelle Computer (VM) des Mandanten wurde durch böswillige Dritte kompromittiert. [24] | Referenz 1 – IaaS | Risikominderung Stelle Netzwerkzugriffskontrollen bereit, die dem Mandanten die Implementierung einer Netzwerksegmentierung und -trennung ermöglichen [25], einschließlich einer Netzwerkfilterfunktion, damit die Remoteverwaltung seiner VMs ausschließlich über seine eigene IP-Adresse erfolgen kann. | Antwort von Atlassian Nicht zutreffend. Atlassian ist ein SaaS-Anbieter. |
| Referenz 2 – IaaS | Risikominderung Stelle dem Mandanten sicher konfigurierte und gepatchte VM-Vorlagen-Images zur Verfügung. Neu bereitgestellten VMs sollten keine schwachen administrativen Passphrasen zugewiesen werden. | Antwort von Atlassian Nicht zutreffend. Atlassian ist ein SaaS-Anbieter. | |
| Effektivste Risikominderung (besonders relevant für PaaS) | |||
| Die Daten des Mandanten werden durch böswillige Dritte kompromittiert. | Referenz 1 – PaaS | Risikominderung Sichere und konfiguriere Schutzmaßnahmen für Betriebssystem, Webserver und Plattformsoftware. Beschränke eingehende und ausgehende Netzwerkverbindungen auf die erforderlichen Ports/Protokolle. Führe umgehend Patches und Protokollanalysen durch. | Antwort von Atlassian Nicht zutreffend. Atlassian ist ein SaaS-Anbieter. |
| Effektivste Risikominderung (besonders relevant für SaaS) | |||
| Die Daten des Mandanten werden durch böswillige Dritte kompromittiert. | Referenz 1 – SaaS | Risikominderung Implementiere Kontrollen für den jeweiligen Cloud-Service. Beispiel: Biete für E-Mail-Services Funktionen wie Inhaltsfilterung mit automatisierter dynamischer Analyse von E-Mails und E-Mail-Anhängen. | Antwort von Atlassian Dies bieten wir in unseren Produkten an. Atlassian verwendet Proofpoint (https://www.proofpoint.com/au/products/email-protection), um Anhänge zu scannen, und ändert URLs, um Phishing-Versuche zu blockieren. Außerdem nutzt Atlassian E-Mail-Schutzfunktionen, die in Google G-Suite (Services für Cloud-Sicherheit und Datenschutz) integriert sind. |
| Referenz 2 – SaaS | Risikominderung Implementiere allgemeine Kontrollen [26], z. B. begrenzte eingehende und ausgehende Netzwerkkonnektivität, beschränkt auf erforderliche Ports/Protokolle, täglich aktualisierte Antivirensoftware, Angriffserkennungssysteme und Prompt-Protokollanalysen. | Antwort von Atlassian Nicht zutreffend. Auf den Produktionsservern von Atlassian wird keine Anti-Malware ausgeführt, da der Schreibzugriff auf die Server nur über unsere CI/CD-Pipeline möglich ist. Die Atlassian-Anwendungsservices, in denen Jira Cloud oder Confluence Cloud gehostet werden, hosten nur den Anwendungscode. Die Server von Jira Cloud und Confluence Cloud können nur über die Deployment-Pipeline bzw. die CI/CD-Pipeline von Atlassian beschrieben werden. | |