Vztahuje se na infrastrukturní, platformní i softwarové služby napříč veřejnými, privátními, hybridními a multicloudovými prostředími. Požadované kontroly stále slouží známým cílům zabezpečení, ale elastické prostředky, programovatelná infrastruktura, komponenty spravované poskytovatelem a z internetu přístupné řídicí roviny mění způsob jejich návrhu a provozu.
Odpovědnost je sdílená, nikoli převedená. Cloudový poskytovatel zabezpečuje určité části služby, zatímco zákazník zůstává odpovědný za další oblasti jako identity, konfigurace, nakládání s daty, aplikační kód a přístup koncových zařízení. Přesná hranice závisí na službě a smlouvě: zákazník typicky řídí více v modelu infrastruktura jako služba než v modelu software jako služba.
Klíčové body
Řiďte službuKlasifikujte data, posuzujte riziko poskytovatele a koncentrace, definujte schválené služby, dokumentujte vlastnictví a plánujte bezpečné ukončení a obnovu.
Chraňte řídicí rovinuPoužívejte silnou autentizaci, nejmenší oprávnění, oddělené administrativní cesty, kde je to praktické krátkodobé přihlašovací údaje a monitorované změny.
Navrhujte bezpečné konfiguraceStanovte otestované baseline pro sítě, úložiště, šifrování, logování, zálohy, exponované služby a nastavení specifická pro poskytovatele.
Udržujte viditelnost a reakciInventarizujte prostředky, centralizujte užitečné logy, detekujte drift a podezřelou aktivitu a nacvičujte cloud-specifické zadržení a sběr důkazů.
Důležité omezeníKompatibilní či dobře zabezpečený poskytovatel nečiní každé zákaznické nasazení bezpečným. Chybná konfigurace, nadměrná oprávnění, nezabezpečený kód, exponované přihlašovací údaje a špatně pochopené hranice odpovědnosti zůstávají riziky zákazníka.