Usługi mogą być niezależne lub połączone i mogą obejmować modele dostarczania infrastruktury, platformy i oprogramowania. Kluczową kwestią jest mnogość dostawców: każdy ma inne tożsamości, polityki, API, logi, limity usług, granice odpowiedzialności i tryby awarii.
Celem jest spójna intencja bezpieczeństwa z implementacją uwzględniającą dostawcę, a nie identyczne kontrole. Organizacje potrzebują inwentarza, rozliczalnych właścicieli, wspólnego zarządzania danymi i tożsamościami oraz chronionych międzychmurowych ścieżek zaufania, sieci, API, danych i dostarczania.
Najważniejsze punkty
Zarządzanie i inwentarzRejestruj dostawców, konta, usługi, regiony, właścicieli, dane, zależności, tożsamości administracyjne, umowy i zatwierdzone połączenia; uwzględniaj w wykrywaniu usługi niezatwierdzone i odziedziczone.
Polityka i dowodyDefiniuj wspólne rezultaty, implementuj je przez kontrole specyficzne dla dostawcy, normalizuj tylko telemetrię potrzebną do przeglądu i reagowania oraz testuj, czy pozornie równoważne ustawienia zachowują się równoważnie.
Odporność i przenośnośćOceń wspólne zależności tożsamości, DNS, kodu, kluczy, sieci i monitorowania; ćwicz awarie dostawców i integracji; oraz zweryfikuj, czy dane, konfiguracje i materiały odtwarzania można wyeksportować i odtworzyć.
Istotne ograniczenieKorzystanie z kilku dostawców nie zmniejsza automatycznie ryzyka koncentracji ani nie tworzy przenośności. Współdzielony dostawca tożsamości, potok wdrożeniowy, biblioteka, łącze telekomunikacyjne lub platforma bezpieczeństwa nadal może zawieść w wielu chmurach. Polityka najniższego wspólnego mianownika może też odrzucić silniejsze natywne zabezpieczenia, stwarzając pozór spójności.