Dienstleistungen für Sicherheitstests

Dienstleistungen für Sicherheitstests: Die Tests erfolgen nach einem standardisierten Sicherheitsmodell und halten sich an anerkannte Rahmenwerke und Standards wie CC, OWASP (einschließlich ASVS und LLM), WASC, NIST sowie, soweit anwendbar, ISO IEC 27001, ISO IEC 27002 und EAL-Spezifikationen. Der Leistungsumfang umfasst die Definition des Sicherheitsanforderungsniveaus, die Überprüfung der Sicherheitsarchitektur und zentraler Kontrollen auf Prozess- und IT-Systemebene. Es werden klare und priorisierte Änderungsvorschläge zur Behebung festgestellter Sicherheitsmängel erstellt. Die Tests richten sich an IT-Systeme, Schnittstellen, Integrationen, Cloud-Umgebungen (IaaS, PaaS, SaaS), Identitäts- und Zugriffsmanagementlösungen (IAM), mobile Anwendungen und bei Bedarf an IT-Systemkomplexe im Zusammenhang mit medizinischen Geräten. Inhaltlich können die Tests umfassen: Inbetriebnahmeinspektionen, Sicherheitsbewertungen, Bewertungen der Quantenbereitschaft, wiederkehrende Schwachstellenscans und Schwachstellenmanagement, Penetrationstests (einschließlich Web-, Mobil-, Infrastruktur- und API-Tests sowie bei Bedarf Red-Team-Übungen), Simulation von Denial-of-Service-Angriffen in vereinbartem Umfang, Überprüfung von Konfigurationen und Sicherheitseinstellungen (Baseline Compliance), Bewertung der Sicherheit von Softwarekomponenten und Abhängigkeiten (Supply Chain), sowie Aufgaben für Planung, Durchführung, Management und Wartung der Tests. Für KI- und LLM-Lösungen deckt die Prüfung insbesondere ab: Risiken im Zusammenhang mit der Manipulation von Eingaben und Prompts (Prompt Injection), Datenlecks und Offenlegung von Informationen über Modelle, Risiken des Missbrauchs und der Umgehung von Modellen, Sicherheit von Zugriffsrechten, Schnittstellen und Integrationen, sowie die Anbindungen von KI-Systemen an andere IT-Systeme. Die Durchführung erfolgt gemäß vereinbarten Verfahren, einschließlich Testabgrenzungen, Zeitplanung, genehmigter Testmethoden, spezieller Vorkehrungen für Tests in Produktionsumgebungen, Störfallmanagement und sicherer Datenverarbeitung. Die Dokumentation muss mindestens einen Testplan, Zwischenberichte, Testergebnisse mit Beschreibungen und einen Abschlussbericht mit Schlussfolgerungen enthalten. Die Berichterstattung muss eine klare Risikoklassifizierung (kritisch, hoch, mittel, niedrig), eine Folgenabschätzung und konkrete Korrekturvorschläge umfassen, zudem eine Zusammenfassung und eine technische detaillierte Beschreibung der Feststellungen und Testmethoden. Der Dienst kann auch die Entwicklung und Implementierung kontinuierlicher Sicherheitstestmodelle sowie die Integration von Tests in den Softwareentwicklungslebenszyklus (DevSecOps) umfassen. Der Anbieter muss sich an die Sicherheits- und Datenschutzanforderungen des Auftraggebers halten und die Besonderheiten des Sozial- und Gesundheitswesens, einschließlich der Anforderungen an die Verarbeitung von Patientendaten, berücksichtigen.

Auftragsdokumente

Weitere Details