Dotyczy usług infrastrukturalnych, platformowych i programowych w środowiskach publicznych, prywatnych, hybrydowych i multi-cloud. Wymagane kontrole nadal służą znajomym celom bezpieczeństwa, ale elastyczne zasoby, programowalna infrastruktura, komponenty zarządzane przez dostawcę i dostępne z internetu płaszczyzny sterowania zmieniają sposób ich projektowania i eksploatacji.
Odpowiedzialność jest dzielona, a nie przenoszona. Dostawca chmury zabezpiecza określone części usługi, podczas gdy klient pozostaje odpowiedzialny za inne kwestie, takie jak tożsamości, konfiguracja, obsługa danych, kod aplikacji i dostęp z punktów końcowych. Dokładna granica zależy od usługi i umowy: klient zwykle zarządza większą częścią w modelu IaaS niż w SaaS.
Najważniejsze punkty
Zarządzaj usługąKlasyfikuj dane, oceniaj ryzyko dostawcy i koncentracji, definiuj zatwierdzone usługi, dokumentuj właścicielstwo oraz planuj bezpieczne wyjście i odtwarzanie.
Chroń płaszczyznę sterowaniaStosuj silne uwierzytelnianie, zasadę minimalnych uprawnień, osobne ścieżki administracyjne, krótkotrwałe poświadczenia tam, gdzie to praktyczne, oraz monitorowane zmiany.
Projektuj bezpieczne konfiguracjeUstal testowane konfiguracje bazowe dla sieci, pamięci masowej, szyfrowania, logowania, kopii zapasowych, eksponowanych usług i ustawień specyficznych dla dostawcy.
Utrzymuj widoczność i reagowanieProwadź inwentarz zasobów, centralizuj użyteczne logi, wykrywaj dryf i podejrzaną aktywność oraz ćwicz izolację i zbieranie dowodów specyficzne dla chmury.
Istotne ograniczenieZgodny z wymaganiami lub dobrze zabezpieczony dostawca nie sprawia, że każde wdrożenie klienta jest bezpieczne. Błędna konfiguracja, nadmierne uprawnienia, niebezpieczny kod, ujawnione poświadczenia i źle rozumiane granice odpowiedzialności pozostają ryzykiem po stronie klienta.