Разделение ответственности за обеспечение безопасности
Безопасность систем, использующих облачные сервисы, требует разделения ответственности между клиентом (владельцем конечной системы) и провайдером (владельцем облачной инфраструктуры). Это разделение зависит от модели облачных сервисов: IaaS (Infrastructure as a Service), PaaS (Platform as a Service) или SaaS (Software as a Service).
Визуально его можно представить таблицей, где:
- Клиент
- Yandex Cloud
| Собственная инфраструктура |
IaaS | PaaS | SaaS | |
|---|---|---|---|---|
| Управление доступом к данным | ||||
| Безопасность приложений | ||||
| Безопасность ОС | ||||
| Сетевая безопасность (Overlay) | ||||
| Резервирование | ||||
| Шифрование | ||||
| Логи аудита | ||||
| Безопасность хранилища данных и оборудования | ||||
| Сетевая безопасность (Underlay) | ||||
| Физическая безопасность и катастрофоустойчивость (DR) |
Во всех четырех ситуациях только клиент контролирует и управляет правами доступа. Остальная ответственность зависит от модели.
Собственная инфраструктура
На клиенте лежит вся ответственность за обеспечение безопасности на всех уровнях.
IaaS
Провайдер отвечает за физическую безопасность и отказоустойчивость самой платформы, защищает сеть, собирает и анализирует события безопасности гипервизоров и других компонентов инфраструктуры.
Клиент должен сам выполнять резервное копирование виртуальных машин, защищать виртуальную сеть, обеспечивать безопасность гостевых операционных систем, контролировать доступ и оберегать учетные записи пользователей облака.
PaaS
Провайдер отвечает за обеспечение защиты более высокоуровневых слоев инфраструктуры. Он защищает виртуальные машины и выполняет резервное копирование баз данных.
Клиент самостоятельно проводит классификацию данных, обеспечивает разграничение доступа к данным, настраивает процессы для их защиты, а также отвечает за управление правами пользователей и взаимодействие со сторонними сервисами.
SaaS
Провайдер отвечает за большинство аспектов безопасности: доступность и целостность данных, мониторинг и логирование, защиту сети, компонентов сервиса и самого приложения, обеспечение безопасности на физическом уровне.
Клиент отвечает за управление доступом пользователей к данным.