Dotyczy aplikacji niestandardowych, zarządzanych usług programowych i aplikacji przeniesionych do infrastruktury chmurowej, w fazach projektowania, rozwoju, wdrażania, administracji, użytkowania, monitorowania, reagowania i wycofywania.
Odpowiedzialność różni się według modelu usługi i umowy, ale klienci zachowują obowiązki w obszarach takich jak tożsamości, konfiguracja tenanta, dane i dozwolone użycie. Skuteczna praktyka łączy testowanie bezpieczeństwa aplikacji z konfiguracją chmury, kontrolą dostępu, ochroną danych, zarządzaniem integracjami, logowaniem i reagowaniem zgodnie z rzeczywistą architekturą aplikacji.
Najważniejsze punkty
Projektowanie i dostarczanieModeluj zagrożenia, definiuj granice zaufania, przeglądaj architekturę, zabezpieczaj kod i zależności, testuj kontrole, chroń potoki wdrożeniowe oraz ustal bezpieczne procesy wydawania i wycofywania.
Tożsamość i daneStosuj zasadę minimalnych uprawnień do osób i usług, zarządzaj sekretami i kluczami, waliduj autoryzację, klasyfikuj dane, ograniczaj udostępnianie oraz chroń dane w tranzycie i w spoczynku.
Operacje i integracjeWzmacniaj ustawienia tenanta i aplikacji, prowadź inwentarz interfejsów i połączonych aplikacji, monitoruj istotne zdarzenia, naprawiaj podatności i dryf oraz ćwicz reagowanie i odtwarzanie uwzględniające dostawcę.
Istotne ograniczenieKontrole dostawcy nie zabezpieczają automatycznie kodu, tożsamości, konfiguracji ani integracji klienta. Broker bezpieczeństwa dostępu do chmury (CASB) widzi tylko obsługiwane ścieżki, a szyfrowanie nie może zapobiec nadużyciu na autoryzowanym punkcie końcowym.