[[405614]]

隨著企業在疫情期間致力于為遠程工作的員工提供支持，云計算的采用在過去一年中加速增長。盡管這種采用增長迅速，但企業經常誤解一個關鍵的云計算概念：共享責任模型(SRM)。

許多企業管理者仍然在問“云計算安全嗎”?這個問題在現在來說并不恰當。對于他們來說，更恰當的問題應該是，“作為安全團隊，是否在保護我們在云中的份額?”。絕大多數云數據泄露/泄漏都是由企業本身造成的。根據調研機構Gartner公司的預測，到2025年，99%的云安全故障將是企業所犯的錯誤。因此，所有安全從業人員都必須了解他們的職責。

什么是共享責任模型?

共享責任模型描述了作為云計算客戶的企業的責任以及云計算服務提供商的責任。云計算服務提供商負責云計算物理設施的安全，例如數據中心、電源、電纜、硬件等。企業負責云計算服務的安全，例如網絡控制、身份和訪問管理、應用程序配置和數據等。

也就是說，這種職責分工可以根據企業使用的服務模式而改變。在基本層面上，美國國家標準和技術研究院(NIST)定義了三種主要的云服務模型：

• 基礎設施即服務(IaaS)：在基礎設施即服務(IaaS)模式下，云計算服務提供商負責物理數據中心、物理網絡和物理服務器/托管的安全。
• 平臺即服務(Paas)：在平臺即服務(Paas)模式中，云計算服務提供商承擔更多的責任，例如修補(客戶通常在這方面很糟糕，是導致安全事件的主要途徑)和維護操作系統。
• 軟件即服務(SaaS)：在軟件即服務(SaaS)中，企業只能在應用程序的配置設置中進行更改，其他一切的控制權都交給云計算服務提供商(例如Gmail)。

使用每種云計算服務都有一個權衡，企業需要放棄控制權以換取更多的交鑰匙/管理經驗，讓云計算服務提供商處理更多的安全事項，并讓企業專注于他們的核心競爭力。

每個云計算服務提供商都有不同版本的共享責任模型(SRM)。

安全從業人員如何為共享責任模型(SRM)做準備

雖然共享責任模型(SRM)涉及合同和財務影響等非安全問題，但它也包括若干安全考慮因素。安全從業者必須了解他們在共享責任模型(SRM)中的職責，基于他們使用的服務以及他們組織的實現和架構。還記得幾乎所有的云計算數據事件都發生在共享責任模型(SRM)的客戶端嗎?這是理解共享責任模型(SRM)并確保完成了模型的一部分的主要原因。

企業的職責取決于其兩個主要的安全角色：技術安全從業者或安全主管。技術安全從業者(如云安全工程師或云安全架構師)需要了解企業正在使用哪些云計算服務，如何安全地構建這些解決方案，以及企業的權限范圍內哪些配置、設置和控制可以影響和引導更強健的安全態勢。

技術安全專業人員還應該非常熟悉他們的公司正在使用的平臺和服務，并了解如何安全地實現。云安全工程師/架構師通常與工程和開發團隊合作。如果不能引導他們使用安全的解決方案，或者發現有風險的配置(記住這些配置是如何導致大多數云計算數據事件的)，那么其所在的公司就可能面臨巨大的風險。

企業可以向其合作的云計算服務提供商尋求安全資源。例如，AWS公司提供了一個令人難以置信的安全文檔數據庫，按類別(例如，計算、存儲、安全、身份和合規性)細分，企業可以在其中找到與其組織所使用的每項服務相關的細節。這包括關于如何安全地配置服務、企業以操縱哪些配置以及故障排除指南的大量信息。

安全主管的主要考慮事項包括清點服務使用情況(必須知道企業內部正在使用什么服務，否則無法進行保護)、確保企業使用的服務符合適用的監管框架，以及了解合同/法律方面，例如云計算服務提供商服務等級協議(SLA)，尤其是在事件響應計劃等方面。

許多企業與云計算服務提供商建立伙伴關系并分擔責任。這包括確保企業使用的服務符合其必須遵守的監管框架。超大規模云計算服務提供商使這些信息易于查找，AWS和Microsoft Azure等云計算供應商提供“范圍內的服務”頁面，企業可以在其中確定哪些服務符合哪些框架以及哪些仍在審批過程中。這有助于確保企業的團隊不僅在云中構建強大且安全的架構和工作負載，也使用符合其適用框架的服務來避免合規性或監管問題。

各級安全從業人員應努力在其云環境中實現安全標準和最佳實踐。這可能意味著從各自的云計算服務提供商實現安全最佳實踐，或者為各自的云計算環境實施諸如互聯網安全中心(CIS)基準之類的實踐。

客戶責任矩陣

處理共享責任模型(SRM)時的一個基本工件是客戶責任矩陣(CRM)，它列出了云計算服務提供商提供的控制以及留給云計算消費者的責任。美國聯邦風險和授權管理計劃(FedRAMP)是找到模板客戶責任矩陣(CRM)并了解更多相關信息的好地方。FedRAMP是一個用于處理跨聯邦政府消費的云服務產品的授權程序。

客戶責任矩陣(CRM)是安全從業人員使用的重要工具。在共享責任模型(SRM)中，安全控制或者完全由云計算服務提供商提供，混合控制(責任落在云計算服務提供商和云客戶身上)，或者完全留給客戶。安全從業人員可以利用客戶責任矩陣(CRM)來清楚地了解這種安全控制描述。

使用云計算服務可以將某些安全控制和活動的責任轉移給云計算服務提供商，讓企業專注于他們的核心競爭力。也就是說，它創建了安全專業人員必須理解和適當處理的責任關系。需要記住的是，大多數云計算數據泄露都發生在共享責任模型(SRM)的客戶端，歸根結底，企業對自身的數據安全和聲譽負有全部責任。