Să asiguri securitatea datelor, sistemelor și aplicațiilor într-un cloud public este un efort de colaborare. Aceste lucruri implică angajament și responsabilitate atât din partea furnizorului de servicii, cât și din partea clientului. Cine este responsabil pentru ce în acest duo? Aceste obligații sunt definite de shared responsibility model (modelul de responsabilitate comună).
Datele stocate de compania ta în cloud pot atrage atenția infractorilor cibernetici. Un simplu și singur eveniment de scurgere de date poate costa mai mult decât doar daune reputaționale. O astfel de perturbare a întreprinderilor mari provoacă daune care se ridică la sute de milioane sau chiar miliarde de dolari.
Nici chiar cel mai bine securizat ecosistem cloud nu poate garanta 100% securitatea datelor corporative, pe cont propriu. Efortul trebuie completat de cel al antreprenorului sau omului de afaceri care contractează aceste servicii. Altfel spus, o casă nu va fi 100% protejată nici măcar de cele mai bune uși și ferestre anti-efracție dacă proprietarul însuși le lasă întredeschise.
O afacere care folosește servicii de cloud public trebuie să înțeleagă bine rolul pe care îl are de jucat în securitatea datelor stocate. Modelul de responsabilitate comună ajută în acest sens.
Fiecare furnizor de cloud public folosește propriul model de responsabilitate comună (SRM pe scurt). Acesta desemnează sferele de activitate pentru care furnizorul de servicii este direct responsabil. În același timp, acest SRM indică responsabilitățile care revin clientului.
Pe scurt: furnizorul de servicii cloud este responsabil pentru securitatea cloud-ului în sine și a soluțiilor pe care le oferă. Utilizatorul este responsabil pentru siguranța datelor și aplicațiilor sale din cloud. Ambii actori pot îmbunătăți progresiv SRM, urmând cele mai bune practici din domeniu.
De menționat că limita acestei răspunderi nu este fixă. Aceasta poate depinde, de exemplu, de tipul de serviciu ales de utilizatorul cloud.
Să ne amintim că, în timp ce migrarea către cloud transferă treptat responsabilitatea de la companie la furnizor, organizația nu scapă niciodată complet de ea. Următoarea diagramă vă va ajuta să înțelegeți mai bine împărțirea responsabilităților.
Model de responsabilitate comună pentru principalele modele de cloud computing
Să urmărim conexiunea dintre providerul cloud și responsabilitățile de afaceri pentru fiecare tip de soluție cloud (IaaS, PaaS și SaaS). Omitem modelul on-premise, atunci când compania nu folosește nicio soluție cloud. În acest caz, organizația poartă întreaga responsabilitate pentru asigurarea securității și monitorizării infrastructurii și aplicațiilor.
Shared responsibility model în aplicațiile SaaS
Într-un serviciu cloud bazat pe modelul SaaS (software-as-a-service), clientul este singurul responsabil pentru conținut. Acesta este pus la dispoziția altor utilizatori care folosesc aplicația urmând cele mai bune practici.
Un exemplu de aplicație SaaS ar putea fi editorul de documente online, Google Docs. Responsabilitatea pentru funcționarea corectă a tuturor instrumentelor și disponibilitatea aplicației în sine revine furnizorului de cloud, în acest caz, Google.
Shared responsibility model în serviciile PaaS
Un serviciu cloud bazat pe modelul PaaS (platform-as-a-service) impune responsabilități suplimentare utilizatorului. Conform schemei pentru serviciile Google Cloud, acesta adaugă, de exemplu, responsabilități privind implementarea și securitatea aplicației.
App Engine poate fi folosit ca exemplu de serviciu disponibil pe Google Cloud în model PaaS. GAE este un mediu de dezvoltare și găzduire pentru rularea aplicațiilor personalizate în cloud-ul public Google. În mod evident, securitatea produsului rămâne în grija dezvoltatorului aplicației.
Shared responsibility model în cazul IaaS
Soluția cloud care necesită cea mai mare atenție din partea clienților este IaaS (infrastructure- as-a-service). În acest caz, utilizatorul se ocupă de sistemul de operare și de funcționarea acestuia, de înregistrarea de date, de autorizarea accesului sau de configurarea și managementul rețelei.
La Google Cloud, Compute Engine este un exemplu de serviciu oferit într-un model IaaS. Acesta este o soluție pentru crearea și rularea mașinilor virtuale în infrastructura furnizorului.
Citește și:
Care este practicalitatea modelului de responsabilitate comună?
În fiecare dintre scenariile de mai sus, utilizatorul este întotdeauna responsabil pentru securitatea datelor pe care le stochează în mediul cloud. De utilizator depinde dezvoltarea unui mecanism eficient de securizare a datelor, inclusiv controlul accesului, pe baza soluțiilor oferite de furnizorul cloud.
Atunci când se utilizează servicii cu un grad mai mare de responsabilitate pe partea clientului (PaaS și IaaS), compania trebuie să aibă în vedere și configurarea corectă a soluțiilor cloud utilizate. Aceasta include, de exemplu, controlul autorizațiilor de acces pentru angajați.
În orice caz, responsabilitatea pentru viabilitatea și securitatea hardware-ului revine furnizorului de cloud. Puteți afla mai multe despre protecția garantată de Google pentru centrele de date pe mai multe niveluri în clipul de mai jos.
Care sunt avantajele modelului de responsabilitate comună?
Similar cu cazurile numeroaselor tehnologii, acest model are avantaje și dezavantaje. Totuși, beneficiile nete sunt:
- Ușurința cu care poate fi folosit. Cu modelul acesta, mare parte din responsabilitatea securizării infrastructurii revine furnizorului cloud. Astfel, utilizatorul obișnuit și compania în sine sunt ușurați de parte din aceste obligații.
- Expertiza furnizorului. Acești provideri investesc resurse și cunoștințe în a stăpâni aceste arii. Acesta poate fi un punct important pentru companiile mici și mijlocii care nu au bugete dedicate pentru specialiștii proprii.
Cum să garantezi securitatea datelor companiei în cloud?
Este necesar să configurați corect mediul cloud de la bun început. Cloud-ul este perfect securizat din partea furnizorului. Acesta transmite mai departe utilizatorilor cele mai bune practici în acest sens, fără să poată interfera cu arhitectura și securitatea din partea clientului.
Chiar dacă utilizați deja servicii Google Cloud, merită să consultați un partener premium Google ca FOTC pentru a vă asigura că este configurat corect.
Cu susținerea inginerilor cloud FOTC
