Что такое модель общей ответственности в облаке

Что такое модель общей ответственности в облаке. Давайте вместе изучим все преимущества и недостатки. Это поможет создать правильную стратегию защиты данных

Модель общей ответственности — одна из наиболее важных особенностей эффективной облачной безопасности. Это применимо независимо от того, используете ли вы модель «Программное обеспечение как услуга», например Microsoft 365, или всеобъемлющую модель «Инфраструктура как услуга».

Между вами и поставщиком облачных услуг всегда есть общие обязанности.

Модель определяет индивидуальные обязанности поставщика облачных услуг (CSP) и клиента. Он также охватывает общую ответственность, в которой обе стороны должны играть свою роль. Преимущества модели общей ответственности включают улучшение безопасности, большую подотчетность и снижение затрат.

Одним из аспектов, который никогда не разглашается, является ответственность клиентов за безопасность своих данных, учетных записей и личных данных.

Как клиент, вы несете ответственность за безопасность своих данных и следите за тем, чтобы у вас были безопасные и надежные резервные копии, когда они вам понадобятся.

Введение в модель общей ответственности

Когда вы перемещаете рабочие нагрузки в облако, ваши обязанности меняются. Поставщик облачных услуг становится ответственным за предоставление определенных услуг, а вы сохраняете ответственность за свои данные. В некоторых случаях вы и поставщик облачных услуг разделяете определенные обязанности. Это известно как модель общей ответственности в облаке.

Крайне важно полностью понимать содержание и контекст модели общей ответственности, применимой к вашему приложению. Обязанности различаются в зависимости от CSP и типа используемой вами услуги. В каждом случае вы несете определенные обязанности в отношении облачной безопасности и соответствия требованиям. Вы всегда несете ответственность за безопасность своих данных и резервных копий. Потратив время на полное понимание этих требований и приняв соответствующие меры безопасности, вы сможете развеять опасения по поводу безопасности облака.

Основы модели общей ответственности

Разделение обязанностей зависит от используемого вами облачного решения. Одним из крайностей является простая модель IaaS, в которой все, что предоставляет CSP, — это облачная структура хоста. Другой крайностью является модель SaaS, которая включает в себя все: от базового оборудования до полноценного программного приложения.

Важно отметить нюансы предложения каждого CSP. Например, не все приложения SaaS одинаковы. В некоторых случаях CSP берет на себя ответственность за все, кроме данных клиента, тогда как в других ответственность клиента включает контроль доступа, настройку приложений и безопасность данных.

Модели обслуживания общей ответственности

Три основные модели облачных сервисов:

• IaaS: инфраструктура как услуга
• PaaS: платформа как услуга
• SaaS: программное обеспечение как услуга

Здесь не рассматриваются варианты: «Сеть как услуга», «База данных как услуга» и «Хранилище как услуга».

Инфраструктура как услуга (IaaS)

IaaS — это ближайший эквивалент локального центра обработки данных, за исключением того, что он находится в облаке. В обязанности CSP входит предоставление физического или виртуального хоста, сети и центра обработки данных. Это включает в себя безопасность, управление и обслуживание программного обеспечения этих объектов. Как пользователь вы несете ответственность за безопасность операционной системы, программных приложений, управление сетью, хранение данных, резервное копирование, конфигурацию приложений, учетные записи и контроль удостоверений.

Платформа как услуга (PaaS)

Основное различие между IaaS и PaaS заключается в том, что CSP предоставляет операционную систему.

В обязанности клиента входит прикладное программное обеспечение, инструменты управления данными, резервное копирование и управление доступом. PaaS часто включает в себя большую долю общих сервисов, чем другие модели, а фактическое разделение обязанностей по обеспечению безопасности различается у разных поставщиков. Пользователь несет ответственность за безопасность и хранение данных.

Программное обеспечение как сервис (SaaS)

В модели SaaS поставщик предоставляет инфраструктуру, операционную систему и приложение и несет за них ответственность. Как пользователю, все, что вам нужно сделать, это инициализировать и настроить приложение в соответствии со своими потребностями и начать его использовать.

Примеры включают Microsoft 365, Salesforce, Dropbox и Slack. Важно понимать, что вы несете ответственность за безопасность своих данных.

Хотя CSP несет общую ответственность за обеспечение безопасности инфраструктуры и приложений, вы должны внести свой вклад, поддерживая безопасность учетных записей, идентификацию пользователей и целостность данных. Фактические обязанности различаются в зависимости от приложения и свободы изменения его конфигурации.

Обязанности поставщика облачных услуг

Обязанности CSP различаются в зависимости от модели облака. Во всех случаях CSP отвечает за обеспечение и безопасность физического центра обработки данных, программного обеспечения хоста и внутренних сетей. Они делают это с помощью физических мер вместе с надежным программным обеспечением безопасности, межсетевыми экранами и протоколами. Они защищают от незапланированных простоев благодаря службам быстрого переключения при сбое для зеркалирования центров обработки данных, комплексному внутреннему резервному копированию и сложным решениям для аварийного восстановления. CSP управляют уровнями виртуализации, которые позволяют пользователям получать доступ к ресурсам и предоставлять их. CSP отвечает за защиту отдельных учетных записей и разделов клиентов от злонамеренных вторжений.

В случае решений SaaS и PaaS CSP управляет всеми ресурсами до согласованного уровня, связанными с предоставляемой услугой и потребностями клиента. К ним относятся обновления программного обеспечения, исправления безопасности и все аспекты операционной безопасности услуг, предоставляемых CSP.

Ваши обязанности

Вы несете ответственность за каждый аспект службы, находящейся под их непосредственным контролем.

Это всегда включает в себя полную ответственность за безопасность и сохранность своих данных. Аспекты включают контроль доступа, идентификацию и аутентификацию пользователей, а также управление паролями. Важным аспектом является то, что пользователь или клиент несет ответственность за шифрование, резервное копирование и защиту своих данных, а также за соблюдение нормативных требований, таких как сроки хранения.

Клиенты несут ответственность за безопасность конечных точек, управление учетными записями и подключения к внешним сетям. Другие моменты, которые следует учитывать, включают конфигурации системы, обновления программного обеспечения и установку исправлений безопасности для всего программного обеспечения, которым управляет пользователь.

В отчете Veeam о тенденциях облачной защиты за 2023 год подчеркивается, что многие пользователи облака не до конца осознают эти обязанности. Эти опасения распространяются на сроки хранения данных и безопасность данных.

Общие обязанности

В большинстве случаев вам необходимо четко определить общие обязанности. Области, где это может произойти, включают инфраструктуру каталогов, приложения и элементы управления сетью.

Например, при использовании IaaS пользователи часто выбирают операционную систему. Это решение поднимает такие вопросы, как кто несет ответственность за конфигурацию, обновления и исправления ОС.

В случае SaaS поставщик может предоставить брандмауэр, но его настраивает пользователь.

Преимущества модели общей ответственности

В то время, когда ИТ-отделы многих компаний перегружены, модель совместной ответственности является привлекательным вариантом. CSP, с их более крупными бюджетами и технической глубиной, могут освободить вашу команду от значительной ответственности. Преимущества включают улучшение безопасности, четкое разделение обязанностей, большую гибкость и снижение затрат.

• Улучшение ситуации с безопасностью. Благодаря своим более широким обязательствам поставщики услуг связи выделяют значительные ресурсы на безопасность, а их команды обладают значительно большим опытом. Они следят за тем, чтобы их команды своевременно внедряли обновления и исправления встроенного ПО и программного обеспечения. Их команды сосредоточены на обеспечении безопасности систем и отсутствии вредоносных программ, и они постоянно отслеживают свои системы на предмет киберугроз.
• Четкое разделение обязанностей. Модели общей ответственности четко определяют роли и ответственность. Обе стороны понимают, кто и что делает, поэтому путаницы не возникает. Модель общей ответственности в облаке помогает устранить пробелы и высвобождает ресурсы клиентов, позволяя сосредоточить усилия на приоритетных областях.
• Гибкость и масштабируемость: по сравнению с локальными ситуациями облако обеспечивает огромную гибкость, позволяя пользователям адаптировать свои приложения в соответствии с текущими потребностями, сохраняя при этом возможность масштабирования по мере необходимости.
• Снижение затрат. Модель совместной ответственности позволяет вам использовать службы безопасности и инфраструктуры вашего CSP для снижения внутренней ИТ-рабочей нагрузки. Это без каких-либо дополнительных затрат, кроме согласованной ежемесячной подписки на облачный сервис.

Лучшие практики совместной ответственности

Независимо от того, являетесь ли вы новичком в облаке или опытным пользователем, полезно определить набор лучших практик совместной ответственности. Это поможет вам управлять отношениями с поставщиком услуг связи и лучше понимать свои обязанности.

• Соглашение об уровне обслуживания. Убедитесь, что вы понимаете соглашение об уровне обслуживания между вами и вашим CSP. Обратите внимание, что эти соглашения различаются в зависимости от CSP и используемых вами услуг. Выявите и устраните все «серые зоны», а также тщательно определите свои обязанности.
• Соображения безопасности: вы всегда несете ответственность за безопасность своих данных, поэтому уделите приоритетное внимание разработке надежной стратегии защиты данных.
• Определите политику управления доступом и определите ее. Разработайте политику управления доступом, включающую политики многофакторной аутентификации на основе ролей.
• Соответствие: проведите комплексную проверку всех законов и правил, касающихся безопасности и конфиденциальности данных, применимых к вашим данным. Убедитесь, что ваш CSP может соответствовать этим требованиям.
• Аудит: постоянно проверяйте свои системы с помощью инструментов поиска угроз и криминалистических инструментов для обнаружения несанкционированного и вредоносного трафика.
• Структура управления: убедитесь, что у вашего CSP есть структура управления, включающая человека, ответственного за безопасность, а также политику безопасности и соответствия требованиям.

Модели общей ответственности у ведущих поставщиков облачных услуг

Чтобы лучше понять модель совместной ответственности, давайте рассмотрим три популярные облачные платформы: AWS, Microsoft 365 и Salesforce.

Каждый из них совершенно различен:

• AWS — это прежде всего модель IaaS, но она предлагает услуги PaaS и SaaS.
• Office 365 и Salesforce являются облачными моделями SaaS.

Модель общей ответственности AWS

AWS в настоящее время является крупнейшим поставщиком облачных услуг. У компании есть три основные облачные платформы. Это:

• ЕС2. Amazon EC2 — это серверная служба виртуальных компьютеров, предлагающая масштабируемые вычисления.
• Ледник. Amazon Glacier — это недорогой сервис долгосрочного хранения данных для архивирования данных.
• Амазон S3. Amazon Simple Storage Service — это высокопроизводительная система хранения данных, предназначенная для часто используемых данных.

Amazon EC2 — это решение IaaS, в котором для хранения данных используются Glacier и Amazon S3. AWS предоставляет уровни аппаратного обеспечения и гипервизора, на которых клиенты устанавливают свои гостевые операционные системы и приложения. Модель общей ответственности AWS определяет, что клиенты несут ответственность за управление своими данными и применение инструментов доступа к удостоверениям и управления ими.

Office 365 (Microsoft 365) Модель общей ответственности

Office 365 — чрезвычайно популярная облачная версия пакета Microsoft Office Suite. Microsoft 365 — это служба SaaS, созданная на базе облачной службы Microsoft Azure. Одной из привлекательных особенностей 365 является встроенная служба репликации данных, которая обеспечивает безопасность ваших данных, если что-то пойдет не так в одном из центров обработки данных Microsoft. Многие пользователи полагают, что служба репликации данных — это то же самое, что и служба резервного копирования. Это не так, как и корзина Office 365, которая предлагает только краткосрочные варианты восстановления.

Модель  общей ответственности Microsoft 365 гласит, что клиенты обязаны обеспечивать безопасность (резервное копирование) своих данных, информации об учетных записях и личных данных. 

Модель общей ответственности Salesforce

Salesforce — компания, предлагающая комплексный набор программных продуктов для продаж, маркетинга и коммерческого программного обеспечения под торговой маркой Customer 360. Это была первая компания, предложившая настоящий облачный сервис SaaS. Сегодня у компании одна из самых настраиваемых облачных CRM-платформ. Как и Microsoft, Salesforce управляет несколькими центрами обработки данных с полными возможностями аварийного восстановления. Но эта услуга не является резервной копией; это просто означает, что вы можете восстановить свои рабочие данные в случае аварии. Он не защищает от случайного удаления, повреждения данных или программ-вымогателей.

Модель общей ответственности Salesforce ясно показывает, что ответственность за безопасность своего экземпляра Salesforce лежит на клиентах.

Будущие тенденции в области общей ответственности

Модель общей ответственности продемонстрировала эффективность общей облачной безопасности. Поставщики услуг связи и клиенты, которые полностью понимают и применяют эти модели, создают безопасные и защищенные облачные среды. Однако облачная безопасность является движущейся целью, и постоянно появляются новые требования и угрозы, которые влияют на модели совместной ответственности.

Будущие тенденции в моделях совместной ответственности включают:

• Более активное участие CSP. Поставщики услуг связи начнут более активно взаимодействовать с клиентами для решения общих проблем и предоставления технической поддержки.
• Общая судьба. Концепция  общей судьбы, когда операторы связи становятся активными партнерами, помогающими клиентам решать проблемы безопасности, получит распространение.
• Искусственный интеллект. Поставщики услуг связи представят инструменты облачной безопасности на базе искусственного интеллекта и машинного обучения с улучшенными и более быстрыми возможностями обнаружения угроз.
• Облачные инструменты. Поставщики представят облачные инструменты безопасности данных и резервного копирования, которые помогут упростить облачную безопасность.

Защитите свою облачную среду с Veeam

Модели совместной ответственности являются основой для создания успешных облачных сред. Эти модели четко разграничивают обязанности поставщиков услуг связи и их клиентов.

Поставщики услуг связи несут ответственность за безопасность базовой облачной инфраструктуры. Остальные обязанности распределяются в зависимости от модели реализации облака.

Одна из констант заключается в том, что клиент всегда несет ответственность за безопасность своих данных, резервных копий, управления идентификацией и учетными записями, а также конфигураций. Сохраняйте полный контроль и право собственности на свои данные с помощью собственных решений Veeam для резервного копирования в гибридном облаке.