[[405614]]

隨著企業(yè)在疫情期間致力于為遠程工作的員工提供支持，云計算的采用在過去一年中加速增長。盡管這種采用增長迅速，但企業(yè)經(jīng)常誤解一個關鍵的云計算概念：共享責任模型(SRM)。

許多企業(yè)管理者仍然在問“云計算安全嗎”?這個問題在現(xiàn)在來說并不恰當。對于他們來說，更恰當?shù)膯栴}應該是，“作為安全團隊，是否在保護我們在云中的份額?”。絕大多數(shù)云數(shù)據(jù)泄露/泄漏都是由企業(yè)本身造成的。根據(jù)調(diào)研機構(gòu)Gartner公司的預測，到2025年，99%的云安全故障將是企業(yè)所犯的錯誤。因此，所有安全從業(yè)人員都必須了解他們的職責。

什么是共享責任模型?

共享責任模型描述了作為云計算客戶的企業(yè)的責任以及云計算服務提供商的責任。云計算服務提供商負責云計算物理設施的安全，例如數(shù)據(jù)中心、電源、電纜、硬件等。企業(yè)負責云計算服務的安全，例如網(wǎng)絡控制、身份和訪問管理、應用程序配置和數(shù)據(jù)等。

也就是說，這種職責分工可以根據(jù)企業(yè)使用的服務模式而改變。在基本層面上，美國國家標準和技術研究院(NIST)定義了三種主要的云服務模型：

• 基礎設施即服務(IaaS)：在基礎設施即服務(IaaS)模式下，云計算服務提供商負責物理數(shù)據(jù)中心、物理網(wǎng)絡和物理服務器/托管的安全。
• 平臺即服務(Paas)：在平臺即服務(Paas)模式中，云計算服務提供商承擔更多的責任，例如修補(客戶通常在這方面很糟糕，是導致安全事件的主要途徑)和維護操作系統(tǒng)。
• 軟件即服務(SaaS)：在軟件即服務(SaaS)中，企業(yè)只能在應用程序的配置設置中進行更改，其他一切的控制權都交給云計算服務提供商(例如Gmail)。

使用每種云計算服務都有一個權衡，企業(yè)需要放棄控制權以換取更多的交鑰匙/管理經(jīng)驗，讓云計算服務提供商處理更多的安全事項，并讓企業(yè)專注于他們的核心競爭力。

每個云計算服務提供商都有不同版本的共享責任模型(SRM)。

安全從業(yè)人員如何為共享責任模型(SRM)做準備

雖然共享責任模型(SRM)涉及合同和財務影響等非安全問題，但它也包括若干安全考慮因素。安全從業(yè)者必須了解他們在共享責任模型(SRM)中的職責，基于他們使用的服務以及他們組織的實現(xiàn)和架構(gòu)。還記得幾乎所有的云計算數(shù)據(jù)事件都發(fā)生在共享責任模型(SRM)的客戶端嗎?這是理解共享責任模型(SRM)并確保完成了模型的一部分的主要原因。

企業(yè)的職責取決于其兩個主要的安全角色：技術安全從業(yè)者或安全主管。技術安全從業(yè)者(如云安全工程師或云安全架構(gòu)師)需要了解企業(yè)正在使用哪些云計算服務，如何安全地構(gòu)建這些解決方案，以及企業(yè)的權限范圍內(nèi)哪些配置、設置和控制可以影響和引導更強健的安全態(tài)勢。

技術安全專業(yè)人員還應該非常熟悉他們的公司正在使用的平臺和服務，并了解如何安全地實現(xiàn)。云安全工程師/架構(gòu)師通常與工程和開發(fā)團隊合作。如果不能引導他們使用安全的解決方案，或者發(fā)現(xiàn)有風險的配置(記住這些配置是如何導致大多數(shù)云計算數(shù)據(jù)事件的)，那么其所在的公司就可能面臨巨大的風險。

企業(yè)可以向其合作的云計算服務提供商尋求安全資源。例如，AWS公司提供了一個令人難以置信的安全文檔數(shù)據(jù)庫，按類別(例如，計算、存儲、安全、身份和合規(guī)性)細分，企業(yè)可以在其中找到與其組織所使用的每項服務相關的細節(jié)。這包括關于如何安全地配置服務、企業(yè)以操縱哪些配置以及故障排除指南的大量信息。

安全主管的主要考慮事項包括清點服務使用情況(必須知道企業(yè)內(nèi)部正在使用什么服務，否則無法進行保護)、確保企業(yè)使用的服務符合適用的監(jiān)管框架，以及了解合同/法律方面，例如云計算服務提供商服務等級協(xié)議(SLA)，尤其是在事件響應計劃等方面。

許多企業(yè)與云計算服務提供商建立伙伴關系并分擔責任。這包括確保企業(yè)使用的服務符合其必須遵守的監(jiān)管框架。超大規(guī)模云計算服務提供商使這些信息易于查找，AWS和Microsoft Azure等云計算供應商提供“范圍內(nèi)的服務”頁面，企業(yè)可以在其中確定哪些服務符合哪些框架以及哪些仍在審批過程中。這有助于確保企業(yè)的團隊不僅在云中構(gòu)建強大且安全的架構(gòu)和工作負載，也使用符合其適用框架的服務來避免合規(guī)性或監(jiān)管問題。

各級安全從業(yè)人員應努力在其云環(huán)境中實現(xiàn)安全標準和最佳實踐。這可能意味著從各自的云計算服務提供商實現(xiàn)安全最佳實踐，或者為各自的云計算環(huán)境實施諸如互聯(lián)網(wǎng)安全中心(CIS)基準之類的實踐。

客戶責任矩陣

處理共享責任模型(SRM)時的一個基本工件是客戶責任矩陣(CRM)，它列出了云計算服務提供商提供的控制以及留給云計算消費者的責任。美國聯(lián)邦風險和授權管理計劃(FedRAMP)是找到模板客戶責任矩陣(CRM)并了解更多相關信息的好地方。FedRAMP是一個用于處理跨聯(lián)邦政府消費的云服務產(chǎn)品的授權程序。

客戶責任矩陣(CRM)是安全從業(yè)人員使用的重要工具。在共享責任模型(SRM)中，安全控制或者完全由云計算服務提供商提供，混合控制(責任落在云計算服務提供商和云客戶身上)，或者完全留給客戶。安全從業(yè)人員可以利用客戶責任矩陣(CRM)來清楚地了解這種安全控制描述。

使用云計算服務可以將某些安全控制和活動的責任轉(zhuǎn)移給云計算服務提供商，讓企業(yè)專注于他們的核心競爭力。也就是說，它創(chuàng)建了安全專業(yè)人員必須理解和適當處理的責任關系。需要記住的是，大多數(shù)云計算數(shù)據(jù)泄露都發(fā)生在共享責任模型(SRM)的客戶端，歸根結(jié)底，企業(yè)對自身的數(shù)據(jù)安全和聲譽負有全部責任。