Was ist das Shared-Responsibility-Modell im Cloud Computing?

Das Modell der gemeinsamen Verantwortung im Cloud-Computing ist ein Framework, das die Sicherheitsaufgaben aufteilt zwischen dem Cloud-Service-Anbieter und dem Kunden. Im Wesentlichen klärt es, wer für welchen Sicherheitsaspekt zuständig ist, um einen effektiven Schutz der Cloud-Umgebung zu gewährleisten.

Die Binding Operational Directive 25-01 der CISA, die am 17. Dezember 2024 erlassen wurde, verpflichtet zivile Bundesbehörden der USA, sichere Konfigurations-Baselines auf bestimmte SaaS-Produkte anzuwenden – was im Grunde der Teil der Gleichung ist, der in die Verantwortung des Kunden fällt.

Die Details dieser Aufteilung unterscheiden sich je nach Servicemodell (SaaS, PaaS, IaaS) geringfügig.

Zu den Unterschieden zwischen den drei Modellen gehören:

• SaaS (Software-as-a-Service): Der Anbieter kümmert sich um die zugrunde liegende Infrastruktur und die Anwendung, während der Kunde für seine Daten und Zugriffsrichtlinien verantwortlich bleibt, einschließlich Benutzerzugriff und Datenklassifizierung.
• PaaS (Platform-as-a-Service): Der Anbieter ist für das unterstützende System verantwortlich, einschließlich Web- Diensten, Betriebssystemenusw., während der Kunde für alle Anwendungen und Daten verantwortlich ist.
• IaaS (Infrastructure-as-a-Service): Der Anbieter steuert die physische Ebene, während der Kunde Anwendungen, Betriebssysteme und Daten steuert.

Der SaaS-Anbieter ist für fünf Sicherheitsaspekte des von ihm betriebenen Dienstes verantwortlich:

• Physische Sicherheit: Rechenzentren und Hardware schützen.
• Netzwerksicherheit: Schutz vor Bedrohungen durch unbefugten Zugriff oder Cyberangriffe.
• Anwendungssicherheit: Aktualisierung von Software zur Behebung von Sicherheitslücken oder Fehlern zur Verhinderung von Verstößen.
• Datensicherheit: Verschlüsselung von Daten sowohl bei der Speicherung als auch bei der Übertragung sowie Sicherstellung von Backups oder Disaster Recovery.
• Betriebssicherheit: Erkennung von Bedrohungen und Reaktion auf Sicherheits- Vorfälle.

Die des SaaS-Kunden Sicherheitsverantwortung umfasst die folgenden Aspekte. In der Beschreibung des Modells durch Google Cloud bleiben Kunden stets für ihre Zugriffsrichtlinien und Daten verantwortlich (Google Cloud).

• Gerätesicherheit: Schutz des Geräts, das verwendet wird, um auf die SaaS-Anwendung zuzugreifen.
• Zugriffsverwaltung: Verwaltung der richtigen Einschränkungen der Benutzer und ihrer Fähigkeit, auf eine Anwendung zuzugreifen, der Verfahren zur Überprüfung ihrer Identität und der Berechtigung zum Zugriff auf die Anwendung.
• Schulung zum Sicherheitsbewusstsein: Schulung der Mitarbeiter zu Sicherheitsmaßnahmen und Phishing-Risiken.
• Datenklassifizierung: Sensible Daten identifizieren und Maßnahmen zu deren Schutz ergreifen.
• Incident-Reaktion: Vorhandensein eines Notfallplans für den Umgang mit Sicherheits- Bedrohungen.
• Sichere Konfiguration: Konfiguration der von der Anwendung bereitgestellten Sicherheitseinstellungen; BOD 25-01 der CISA schreibt vor, dass zivile Bundesbehörden der USA die Baselines für bestimmte SaaS-Produkte einhalten (CISA).

Organisationen und Software-as-a-Service-Anbieter und -Lieferanten sollten:

• Regelmäßige Überprüfung des SaaS-Anbieters Sicherheitsdokumentation und -zertifizierungen: Informieren Sie sich über deren Sicherheitsverfahren und stellen Sie sicher, dass diese den Standards Ihres Unternehmens entsprechen.
• Für eine angemessene Kommunikation sorgen: Pflegen Sie klare Kommunikationskanäle, um Sicherheitsfragen zu besprechen, Probleme zu melden und über Sicherheitsupdates des SaaS-Anbieters informiert zu sein.
• Nehmen Sie an den Security-Awareness-Programmen teil: Stellen Sie sicher, dass Ihre Mitarbeiter an den vom SaaS-Anbieter angebotenen Security-Awareness-Programmen teilnehmen.
• Führen Sie gemeinsame Sicherheitsbewertungen durch: Arbeiten Sie zusammen, um Risiken in der gemeinsamen Umgebung zu identifizieren und zu reduzieren.
• Service Level Agreement (SLA): Legen Sie die Sicherheitsanforderungen und -verantwortlichkeiten in einer schriftlichen vertraglichen Vereinbarung fest.