Sicherheitskontrollen für Cloud-E-Mail-Verschlüsselung

Unterstützte Administrations-Workflows können die verschlüsselte Zustellung, Signaturrichtlinien und die Identitätsintegration steuern. Kontrollen können angewendet werden nach:

• dem Absender;
• der Domäne des Empfängers;
• Nachrichtenmerkmalen wie Inhalt oder Klassifizierung.

Das bereitgestellte technische Material beschreibt eine mandantenspezifische Trennung von Zertifikaten und konfigurierbare Suchkontrollen für LDAP-Verzeichnisse. Diese schützen in unterstützten Workflows vor einer unzutreffenden Zertifikatsauswahl, etwa davor, das Zertifikat eines anderen Mandanten oder eines aus einem unbeabsichtigten Verzeichnis heranzuziehen.

Es handelt sich um logische Schutzmaßnahmen innerhalb des Dienstes, die keiner physischen Isolation gleichkommen. Siehe Verzeichnis- und Mandantenkontrollen.

Laut Quellmaterial wird Folgendes protokolliert:

• Schlüsselerzeugung;
• Zertifikatsausstellung;
• ausgelöste Richtlinien;
• Zustellstatus von Nachrichten.

Solche Aufzeichnungen können die betriebliche Überprüfung, die Untersuchung von Vorfällen und das Sammeln von Nachweisen für Audits unterstützen. Die Protokollierung allein begründet keine Konformität mit der DSGVO, DORA, NIS2, PCI DSS oder einem anderen Regelwerk.

Die zugrunde liegende Plattform wird von ihrem Anbieter als Cloud-native Bereitstellung auf Amazon Web Services beschrieben. Informationen zu den eigenen Zertifizierungen, Registrierungen und Prüfberichten des Anbieters sollten beim Anbieter eingeholt und auf ihren aktuellen Geltungsbereich und ihre Anwendbarkeit geprüft werden.

Schlüssel-Governance umfasst, wie Schlüssel in die Plattform gelangen, wie sie während der Nutzung behandelt werden und wer sie kontrolliert. Die Plattform unterstützt den Schlüsselimport und dokumentiert eine Funktion für kundenverwaltete Schlüssel (MYOK, Manage Your Own Key) im Zusammenhang mit AWS KMS.

MYOK ist eine Plattformfunktion zur Verwaltung bestimmter Schlüssel. Sie ist von der Frage zu trennen, wo die einzelnen privaten Nachrichtenschlüssel für PGP und S/MIME aufbewahrt werden; dies sollte für jede Bereitstellung bestätigt werden. Siehe Schlüsselverwahrung und Kundenkontrolle.

Regulatorische Anforderungen hängen von der Nutzung durch die Organisation, der Konfiguration, den Verträgen und dem anwendbaren Recht ab. Diese Informationsseite zertifiziert keine Installation und ersetzt nicht die Compliance-Bewertung des Kunden.