云计算中的共享责任模型是什么？

共同责任模型 在云计算中是一个划分安全职责的框架，介于 云服务提供商和客户之间。从本质上讲，它明确了谁对安全的各个方面负责，以确保对云环境的有效保护。

CISA 于 2024 年 12 月 17 日发布的约束性运营指令 25-01 要求美国联邦民事机构对某些 SaaS 产品应用安全配置基线——这基本上属于客户需要承担的责任。

根据服务模型（SaaS、PaaS、IaaS）的不同，这种划分的具体细节也略有不同。

这三种模式之间的区别包括：

• SaaS （软件即服务）： 提供商负责底层基础设施 和应用程序，而客户仍负责其数据和访问策略，包括 用户访问和数据分类。
• PaaS （平台即服务）： 提供商负责支持系统，包括 Web 服务、操作系统等，而客户负责所有应用程序和数据。
• IaaS （基础设施即服务）： 提供商控制物理层，而客户控制应用程序、操作系统和数据。

SaaS 提供商对其运行的服务的五个安全方面负责：

• 物理安全： 保护数据中心和硬件。
• 网络安全： 防范未经授权的访问或网络攻击造成的威胁。
• 应用程序安全： 更新软件以修复安全漏洞或错误，防止数据泄露.
• 数据安全: 对存储和传输过程中的数据进行加密，并 确保有备份或灾难恢复。
• 运营安全： 检测威胁并对安全 事件做出响应.

SaaS 客户的 安全责任 涵盖以下方面。在 Google Cloud 对该模型的描述中，客户始终对其访问策略和数据负责 (Google Cloud).

• 设备安全： 保护正在使用的设备 以访问 SaaS 应用程序。
• 访问管理： 管理用户的适当限制及其访问应用程序的能力、验证其身份的程序以及访问应用程序的授权。
• 安全意识培训： 对员工进行安全措施和网络钓鱼风险的培训。
• 数据分类： 识别敏感数据并采取措施保护它。
• 事件响应： 制定应急计划 以应对安全 威胁的处理。
• 安全配置： 配置应用程序提供的安全设置；CISA 的 BOD 25-01 要求美国联邦民事机构遵守特定 SaaS 产品的基线（CISA).

组织和软件即服务提供商和供应商应该：

• 定期审查 SaaS 服务商的 安全文档和认证: 了解他们的安全措施，并确保其符合您组织的标准。
• 确保顺畅的沟通： 保持清晰的沟通渠道，以便讨论安全问题、报告任何问题，并及时了解 SaaS 厂商的任何安全更新。
• 加入安全意识培训计划： 确保您的员工加入 SaaS 服务商提供的安全意识培训计划。
• 进行联合安全评估： 合作识别并降低共享环境中的风险。
• 服务级别协议 (SLA)： 通过书面合同协议确立安全要求和职责。