Що таке модель розподіленої відповідальності в хмарних обчисленнях?

Модель спільної відповідальності у хмарних обчисленнях — це концепція, яка розділяє обов'язки щодо безпеки між постачальником хмарних послуг та клієнтом. По суті, вона визначає, хто відповідає за кожен аспект безпеки для забезпечення ефективного захисту хмарного середовища.

Обов'язкова оперативна директива CISA 25-01, видана 17 грудня 2024 року, вимагає від федеральних цивільних відомств США застосовувати базові налаштування безпеки до певних SaaS-продуктів, що, власне, є зоною відповідальності клієнта.

Специфіка цього розподілу дещо відрізняється залежно від моделі обслуговування (SaaS, PaaS, IaaS).

Відмінності між трьома моделями включають:

• SaaS (Програмне забезпечення як послуга): Постачальник керує базовою інфраструктурою та додатком, тоді як клієнт залишається відповідальним за свої дані та політики доступу, включаючи доступ користувачів та класифікацію даних.
• PaaS (Платформа як послуга): Постачальник відповідає за допоміжну систему, включаючи веб- служби, операційні системитощо, тоді як клієнт відповідає за всі додатки та дані.
• IaaS (Інфраструктура як послуга): Постачальник контролює фізичний рівень, тоді як клієнт контролює програми, операційні системи та дані.

Постачальник SaaS відповідає за п'ять аспектів безпеки послуги, яку він надає:

• Фізична безпека: Захист центрів обробки даних та обладнання.
• Безпека мережі: Захист від загроз, що виникають через несанкціонований доступ або кібератаки.
• Безпека додатків: Оновлення програмного забезпечення для усунення вразливостей безпеки або помилок для запобігання порушенням.
• Безпека даних: Шифрування даних як під час зберігання, так і під час передачі, а також забезпечення резервного копіювання або аварійного відновлення.
• Операційна безпека: Виявлення загроз та реагування на безпекові інциденти.

Зобов'язання клієнта SaaS щодо безпеки охоплює наведені нижче аспекти. В описі моделі від Google Cloud клієнти завжди несуть відповідальність за свої політики доступу та дані (Google Cloud).

• Безпека пристрою: Захист пристрою, який використовується для доступу до SaaS-додатка.
• Управління доступом: Управління належними обмеженнями користувачів та їхньою можливістю отримувати доступ до програми, процедурами перевірки їхньої особи та дозволом на доступ до програми.
• Навчання з обізнаності щодо безпеки: Навчання співробітників щодо заходів безпеки та ризиків фішингу.
• Класифікація даних: Виявлення конфіденційних даних та вжиття заходів для їх захисту.
• Реагування на інциденти: Наявність плану дій у надзвичайних ситуаціях щодо того, як реагувати на загрози безпеці.
• Безпечне налаштування: Налаштування параметрів безпеки, які надає додаток; директива BOD 25-01 від CISA вимагає від федеральних цивільних відомств США дотримуватися базових рівнів безпеки для конкретних SaaS-продуктів (CISA).

Організації та постачальники послуг програмного забезпечення як послуга повинні:

• Регулярно перевіряйте заходи безпеки SaaS-провайдера документація та сертифікати безпеки: Дізнайтеся про їхні практики безпеки та переконайтеся, що вони відповідають стандартам вашої організації.
• Забезпечте належну комунікацію: Підтримуйте чіткі канали комунікації для обговорення питань безпеки, повідомлення про будь-які проблеми та відстеження оновлень безпеки від SaaS-постачальника.
• Долучайтеся до програм підвищення обізнаності з безпеки: Переконайтеся, що ваші співробітники беруть участь у програмах підвищення обізнаності з безпеки, які пропонує SaaS-провайдер.
• Проводьте спільні оцінки безпеки: Співпрацюйте, щоб виявити та зменшити ризики у спільному середовищі.
• Угода про рівень надання послуг (SLA): Зафіксуйте вимоги та обов'язки щодо безпеки у письмовій договірній угоді.