2022云計算中共擔責任

Page|1Page|1云計算中的共擔責任Page|Page|PAGE10內容執(zhí)行摘要 2遷移到端 4云服務交付式 4共同責任 5數(shù)據(jù)分和責任 6客戶端終結保護 7身份和問管理 7應用級制 8網絡控制 9主機基設施 10物理安全 10結語 11遷移到云端（CSP）云供應商自身應該為某些元素提供安全性，如物理基礎設施和網絡元素，但客戶必須意識到自己的責任。云供應商可以提供服務幫助保護數(shù)據(jù)，但客戶也必須了解他們在保護數(shù)據(jù)安全性和私密性方面所扮演的角色。這個問題最好的例證包括密碼策略執(zhí)行不力；用戶如果不使用復雜或難以猜測的密碼，云供應商的最佳安全性和私密性措施也將會失效。云服務和交付模式NISTNIST還定義了三種主要的云服務交付機制：基礎設施即服務（IaaS），平臺即服務（PaaS）和軟件即服務（SaaS）。共同責任我們了解不同的云服務模式是如何影響著云供應商和客戶之間共擔責任的方式。圖1在圖1中，最左邊的列表示七個應該被納入考慮的責任（在下面的部分中定義），所有這些都關乎計算環(huán)境的安全性和保密性。數(shù)據(jù)分類和責任、客戶端和終結點保護屬于客戶范疇的單一責任，而平臺即服務(PaaS)和軟件即服務（SaaS）模型中涉及到的物理架構、宿主機和網絡屬于云服務供應商方面的責任。其余的責任由客戶和云服務供應商共同承擔。有些責任需要云服務供應商和客戶共同管理，包括他們域的安全審核。例如，在使用Azure的ActiveDirectory服務時要考慮身份和訪問管理；服務配置的選擇比如多因素身份驗證是由客戶來決定，但是確保有效的功能性是Azure的責任。數(shù)據(jù)分類和責任圖2不管在本地還是云模式，用戶都要負責保證其數(shù)據(jù)被安全地識別、標記和正確分類。區(qū)分敏感的客戶數(shù)據(jù)和為公眾設計的營銷內容必須由客戶來完成。數(shù)據(jù)分類是一個復雜的過程，但它是所有組織在考慮任何變化(包括移動到云中)時需要考慮的一個重要問題。軟件即服務解決方案如Office365提供保護客戶數(shù)據(jù)的功能，如OfficeLockbox和DataLossPrevention，但最終必須由客戶管理，分類和配置解決方案，以滿足其獨特的安全和隱私要求。對于平臺即服務的解決方案，客戶對數(shù)據(jù)分類和管理的責任應當被認為是規(guī)劃過程中必不可少的一部分。在這樣的解決方案中，客戶需要配置并建立流程來保護數(shù)據(jù)以及用于保護其數(shù)據(jù)的解決方案功能設置。AzureRightsManagement服務屬于平臺即服務，它為客戶提供了數(shù)據(jù)保護功能，并已被集成到許多微軟的軟件即服務解決方案中。在基礎設施即服務模式中，客戶數(shù)據(jù)以及已部署的任何支持解決方案都必須考慮責任和數(shù)據(jù)分類。錯誤配置的服務器會影響存儲在服務中的數(shù)據(jù)受到保護?？蛻舳撕徒K結點保護圖3由于采用更加多樣化的設備，清晰界限的定義和用來連接到云服務的設備的職責界定也是至關重要的。云解決方案供應商可以提供管理終端設備的功能。但是，使用移動管理解決方案仍要求客戶為他們自己的用戶負責。身份和訪問管理圖4用戶或身份管理是一個組織以無縫方式提供的核心服務之一，并且操作簡單、易于管理。身份和訪問管理給用戶提供了在其環(huán)境中訪問和使用資源的能力，這是圖5所示的“誰（Who）”和“什么（What）”之間的紐帶。圖5在平臺即服務和軟件即服務解決方案中，身份和訪問管理是共擔的責任，需要一個有效的實施計劃，其中包括身份提供者的配置，管理服務的配置，用戶身份的創(chuàng)建和配置，服務訪問控制的實施。其他應考慮的注意事項包括多因素身份驗證的使用，基于角色的訪問控制，及時的管理控制，以及用戶和控制點的監(jiān)測和注冊。云計算解決方案如AzureActiveDirectory（AzureAD）提供諸如多因素身份驗證，身份保護，強化基于角色的訪問控制等功能。AzureAD也具備提供本地和第三方應用程序的能力。云服務供應商可以提供可擴展單點登錄功能來將客戶和CSP之間的責任聯(lián)系在一起，降低安全和隱私錯誤配置的風險。基礎設施即服務解決方案要求客戶在托管的主機和虛擬機上配置以及管理身份和訪問控制。AzureAD等解決方案支持虛擬機的身份和訪問控制，但必須在虛擬機級別進行配置。還必須注意在基礎設施層服務運行時附加的安全性和合規(guī)責任。應用級控制圖6平臺管理的應用程序和服務，如Azurewebservices，batch，docDb，IoT，analytics，mediaservices，以及許多相關功能，通過提供Azure管理的更安全的解決方案降低客戶的責任。托管的應用程序要求客戶正確配置服務，但同時也提供更全面的安全功能和集成其它解決方案，如身份管理。云供應商和客戶之間的共擔責任可以用Web服務部署來說明。默認情況下，一個Azure的Web服務是可以被公開查看的，但這可能并不一定是期望狀態(tài)，需要客戶通過自行配置來達到設計時的需求。平臺即服務的解決方案的好處之一是它們不像基礎設施的部署（如虛擬機）一樣要求相同的安全配置。這樣的例子包括補丁管理，反惡意軟件和基準配置。WebWebWindows還是Linux網絡控制圖7網絡控制包括配置，管理以及網絡元素如虛擬網絡、負載均衡、DNS和網關的安全。這些控制為服務提供了交流和交互操作的方式。在軟件即服務解決方案中，網絡控制作為軟件核心產品的一部分，在提供給客戶時經過了云供應商的管理和安全保障，因為云平臺中的網絡基礎設施對客戶來說是被抽象出來的。如軟件即服務解決方案，平臺即服務中的大部分網絡控制配置是由服務供應商完成的。在Azure中，混合解決方案是個例外，因為虛擬機被放置在Azure的虛擬網絡中，它允許客戶配置網絡級服務。在基礎設施即服務解決方案中，客戶和服務供應商共同負責網絡解決方案的部署，管理，保護和配置。主機基礎設施圖8主機基礎設施責任包括云計算的配置，管理和安全（虛擬主機、容器、服務結構，自動縮放），存儲（對象、CDN、文件存儲）和平臺服務。云供應商負責宿主服務（例如服務的宿主操作系統(tǒng)）的運維及安全?；A設施即服務供應商和客戶共同承擔確保服務最優(yōu)配置和安全的職責。此職責包括確保網絡可以正確連通、設備能夠連接或安裝正確的存儲設備所必需的權限和網絡訪問服務的配置。物理安全圖9這些元素可以被認為是物理安全的組成部分，包括建筑或設施、服務器和網絡設備?？蛻粽J為遷移服務至云端最顯著的價值就是物理環(huán)境的管理。云服務商，例如Azure數(shù)據(jù)中心，使用建筑物安全流程和策略來幫助確?；A設施免受未經授權的物理訪問，這種能力以一種高度可用的方法被維護著，如果有災難發(fā)生時，服務會被轉移到一個新的物理地點來提供持續(xù)的服務。其