În modelul NIST, infrastructura cloud este aprovizionată pentru utilizare deschisă de către publicul general, operată de un furnizor de cloud și situată în incintele furnizorului. „Public” descrie cine se poate abona, nu dacă fiecare resursă de client este accesibilă de pe internet.
Furnizorul operează serviciul, dar responsabilitatea clientului variază între serviciile de infrastructură, platformă și software. Clienții trebuie să identifice controalele moștenite, partajate, configurabile și indisponibile; să protejeze administrarea tenantului; și să evalueze izolarea, reziliența, tratarea datelor, suportul și obligațiile privind incidentele ale furnizorului.
Puncte esențiale
Selectarea serviciuluiPotriviți sensibilitatea datelor, disponibilitatea, locația, portabilitatea, cerințele legale și nevoile de recuperare cu furnizorul, modelul de serviciu, contractul, dovezile și controalele.
Operarea tenantuluiAplicați autentificare administrativă puternică, privilegii minime, controale ale valorilor implicite și ale expunerii, decizii privind criptarea și cheile, revizuirea configurației, jurnalizare, backup și proceduri de incident.
Date și reziliențăUrmăriți copiile, subprocesorii, regiunile, comportamentul la ștergere, cotele, dependențele și formatele de ieșire; planificați pentru compromiterea contului, întreruperi și incidente ale furnizorului.
Limitare importantăCertificarea furnizorului sau infrastructura sigură nu stabilește că un tenant, o politică de identitate, o aplicație sau un set de date al clientului este sigur. Cloud-ul public nu este inerent orientat către public sau mai puțin izolat decât infrastructura privată. Endpointurile private depind în continuare de controalele furnizorului și de configurația clientului.