Vztahuje se na vlastní aplikace, řízené softwarové služby a aplikace přesunuté do cloudové infrastruktury, napříč návrhem, vývojem, nasazením, správou, používáním, monitorováním, reakcí a vyřazením.
Odpovědnost se liší podle modelu služby a smlouvy, ale zákazníci si ponechávají povinnosti v oblastech jako identity, konfigurace tenanta, data a povolené používání. Účinná praxe spojuje testování bezpečnosti aplikací s konfigurací cloudu, řízením přístupu, ochranou dat, správou integrací, logováním a reakcí podle skutečné architektury aplikace.
Klíčové body
Návrh a doručováníModelujte hrozby, definujte hranice důvěry, přezkoumávejte architekturu, zabezpečujte kód a závislosti, testujte kontroly, chraňte deployment pipeline a stanovte bezpečné procesy vydání a rollbacku.
Identita a dataUplatňujte nejmenší oprávnění na osoby i služby, spravujte tajné údaje a klíče, validujte autorizaci, klasifikujte data, omezujte sdílení a chraňte data při přenosu i v klidu.
Provoz a integraceZpevněte nastavení tenanta a aplikace, inventarizujte rozhraní a připojené aplikace, monitorujte smysluplné události, napravujte zranitelnosti a drift a nacvičujte reakci a obnovu s povědomím o poskytovateli.
Důležité omezeníKontroly poskytovatele automaticky nezabezpečují zákaznický kód, identity, konfigurace či integrace. Cloud access security broker (CASB) vidí pouze podporované cesty, zatímco šifrování nedokáže zabránit zneužití na autorizovaném koncovém bodě.