Хмарна безпека: де починаються і закінчуються обов’язки CSP і клієнта?

Перегляньте всі сеанси Smart Security Summit за запитом тут.

Коли мова йде про безпеку хмари, питання про те, хто за що відповідає (хост чи хостинг), іноді може бути дещо неясним.

Які зобов’язання має постачальник хмарних послуг (CSP)? Де проявляється вина? І чи є перекриття чи сіра зона?

Оскільки вартість витоку даних становить 4,4 мільйона доларів США за весь час, ці проблеми є головною проблемою для CISO.

Як пояснює некомерційна організація навчання та сертифікації (ISC)2, на початку хмарних обчислень багато «необізнаних керівників закохалися в ідею, що вони більше не будуть нести відповідальності за жодні з «головних болів», пов’язаних із наданий центр обробки даних.

Подія

Саміт Smart Security за запитом

Дізнайтеся про важливу роль штучного інтелекту та машинного навчання в кібербезпеці та практичні приклади для окремих галузей. Дивіться сеанси за запитом сьогодні.

Послухайте

Однак «передача деяких обов'язків не означає також передачу відповідальності», попереджає неприбуткова організація.

Як організації можуть бути впевнені у своїх обов’язках і обов’язках своїх постачальників (і які з них спільні)? Тут експерти галузі розбивають це.

Усі основні публічні хмари, такі як AWS, Microsoft Azure, Oracle Cloud і IBM Cloud, дотримуються так званої «спільної моделі безпеки».

Згідно з (ISC)2, це означає, що організація несе відповідальність за безпеку «в» хмарі, а CSP відповідають за забезпечення безпеки «хмари». Ці обов’язки відрізняються залежно від розгортання програмного забезпечення як послуги (SaaS), платформи як послуги (PaaS) або інфраструктури як послуги (IaaS).

Відповідно до (ISC)2, завдяки IaaS відповідальність клієнта хмари за апаратне забезпечення зменшується. Подібні зміни до відповідальності застосовуються до моделей PaaS і SaaS.

«Ці моделі знімають клієнта з бігової доріжки оновлення, використовуючи досвід хмарного провайдера», — зазначає некомерційна організація.

Тим не менше, практичне застосування «там, де все може стати складним», попереджає (ISC)2. Без досвіду керівників можна «заколисати» думкою, що один постачальник вирішує всі їхні проблеми кібербезпеки.

«Нюанси» підзвітності хмарної безпеки

Справді, за словами аналітика Патріка Хевесі, віце-президента Gartner, існують «нюанси» спільної відповідальності. Він і його колега Чарлі Вінклесс, головний аналітик Gartner, визначають 10 сфер відповідальності за хмару:

Безперервність бізнесу Керування ідентифікацією та доступом (IAM) Дані застосування API програми навантаження віртуальна мережа Оркестровка служби Віртуалізація/хмарна інфраструктура фізичний

Звичайно, у IaaS хмарний постачальник відповідає за віртуалізацію/хмарну інфраструктуру та...