W modelu NIST infrastruktura chmurowa jest udostępniana do otwartego użytku przez ogół społeczeństwa, obsługiwana przez dostawcę chmury i zlokalizowana w siedzibie dostawcy. „Publiczna" opisuje, kto może subskrybować, a nie to, czy każdy zasób klienta jest dostępny z internetu.
Dostawca obsługuje usługę, ale odpowiedzialność klienta różni się między usługami infrastrukturalnymi, platformowymi i programowymi. Klienci muszą zidentyfikować kontrole odziedziczone, współdzielone, konfigurowalne i niedostępne; chronić administrację tenanta; oraz ocenić izolację, odporność, obsługę danych, wsparcie i obowiązki incydentowe dostawcy.
Najważniejsze punkty
Wybór usługiDopasuj wrażliwość danych, dostępność, lokalizację, przenośność oraz potrzeby prawne i odtwarzania do dostawcy, modelu usługi, umowy, dowodów i kontroli.
Eksploatacja tenantaStosuj silne uwierzytelnianie administracyjne, zasadę minimalnych uprawnień, kontrole ustawień domyślnych i ekspozycji, decyzje o szyfrowaniu i kluczach, przegląd konfiguracji, logowanie, kopie zapasowe i procedury incydentowe.
Dane i odpornośćŚledź kopie, podprocesorów, regiony, zachowanie przy usuwaniu, limity, zależności i formaty wyjściowe; planuj na przejęcie konta, zakłócenia i incydenty dostawcy.
Istotne ograniczenieCertyfikacja dostawcy ani bezpieczna infrastruktura nie potwierdzają, że tenant, polityka tożsamości, aplikacja lub zbiór danych klienta są bezpieczne. Chmura publiczna nie jest z natury publicznie dostępna ani mniej izolowana niż infrastruktura prywatna. Prywatne punkty końcowe nadal zależą od kontroli dostawcy i konfiguracji klienta.