O que é o modelo de responsabilidade compartilhada na computação em nuvem?

O modelo de responsabilidade compartilhada em computação em nuvem é uma estrutura que divide as tarefas de segurança entre o provedor de serviços em nuvem e o cliente. Em essência, ele esclarece quem é responsável por cada aspecto da segurança para garantir uma proteção eficaz do ambiente em nuvem.

A Diretriz Operacional Vinculativa 25-01 da CISA, emitida em 17 de dezembro de 2024, exige que as agências civis federais dos EUA apliquem linhas de base de configuração segura a determinados produtos SaaS – o que é, essencialmente, a parte do cliente na equação.

Os detalhes dessa divisão são um pouco diferentes dependendo do modelo de serviço (SaaS, PaaS, IaaS).

As diferenças entre os três modelos incluem:

• SaaS (Software como Serviço): O provedor lida com a infraestrutura subjacente e o aplicativo, enquanto o cliente continua responsável por seus dados e políticas de acesso, incluindo acesso de usuários e classificação de dados.
• PaaS (Plataforma como Serviço): O provedor é responsável pelo sistema de suporte, incluindo serviços Web, sistemas operacionais, etc., enquanto o cliente é responsável por todos os aplicativos e dados.
• IaaS (Infraestrutura como serviço): O provedor controla a camada física enquanto o cliente controla os aplicativos, sistemas operacionais e dados.

O provedor de SaaS é responsável por cinco aspectos de segurança do serviço que executa:

• Segurança física: Proteja os data centers e o hardware.
• Segurança de rede: Proteção contra as ameaças representadas por acesso não autorizado ou ataques cibernéticos.
• Segurança do aplicativo: Atualização de software para corrigir vulnerabilidades de segurança ou bugs para evitar violações.
• Segurança de dados: Criptografar dados tanto quando estão armazenados quanto durante a transmissão, e garantir que haja backups ou recuperação de desastres.
• Segurança operacional: Detectar ameaças e responder a incidentes de segurança.

A responsabilidade de segurança do cliente de SaaS abrange os aspectos abaixo. Na descrição do modelo pelo Google Cloud, os clientes sempre permanecem responsáveis por suas políticas de acesso e dados (Google Cloud).

• Segurança do dispositivo: Proteger o dispositivo que está sendo usado para acessar o aplicativo SaaS.
• Gerenciamento de acesso: Gerenciar as limitações corretas dos usuários e sua capacidade de acessar um aplicativo, os procedimentos para verificar sua identidade e a autorização para acessar o aplicativo.
• Treinamento de conscientização sobre segurança: Treinamento dos funcionários sobre medidas de segurança e riscos de phishing.
• Classificação de dados: Identificar dados confidenciais e implementar medidas para protegê-los.
• Resposta a incidentes: Ter um plano de contingência sobre como as ameaças de segurança devem ser tratadas.
• Configuração segura: Configurar as definições de segurança que o aplicativo oferece; a BOD 25-01 da CISA exige que as agências civis federais dos EUA cumpram as linhas de base para produtos SaaS específicos (CISA).

Organizações e provedores e fornecedores de Software como Serviço devem:

• Revisar regularmente a documentação do provedor de SaaS documentação e certificações de segurança: Conheça as práticas de segurança deles e certifique-se de que elas atendem aos padrões da sua organização.
• Garantir uma comunicação adequada: Manter canais de comunicação claros para discutir questões de segurança, relatar problemas e estar ciente de quaisquer atualizações de segurança do fornecedor de SaaS.
• Participar dos programas de conscientização de segurança: Garantir que sua equipe participe dos programas de conscientização de segurança oferecidos pelo provedor de SaaS.
• Realizar avaliações conjuntas de segurança: Colaborar para identificar e reduzir riscos no ambiente compartilhado.
• Contrato de Nível de Serviço (SLA): Estabelecer os requisitos e responsabilidades de segurança por meio de um acordo contratual por escrito.