Разделение ответственности за обеспечение безопасности

Открытость и прозрачность

Безопасность систем, использующих облачные сервисы, требует разделения ответственности между клиентом (владельцем конечной системы) и провайдером (владельцем облачной инфраструктуры). Это разделение зависит от модели облачных сервисов, которую использует клиентская система (IaaS или PaaS/SaaS).

Визуально его можно представить таблицей, где:

• Клиент
• Яндекс.Облако

	Собственная инфраструктура	IaaS	PaaS
Управление доступом к данным
Безопасность ОС и приложений
Сетевая безопасность (Overlay)
Резервное копирование
Шифрование
Логи аудита
Безопасность хранилища данных и оборудования
Сетевая безопасность (Underlay)
Физическая безопасность и катастрофоустойчивость (DR)

В случае собственной инфраструктуры полная ответственность за обеспечение безопасности на всех уровнях лежит на владельце инфраструктуры.

При использовании облачных сервисов по модели IaaS провайдер отвечает за физическую безопасность и отказоустойчивость самой платформы, защищает сеть, собирает и анализирует события безопасности гипервизоров и других компонентов инфраструктуры. Клиент отвечает за безопасность гостевых машин.

ИТ-службы организаций, использующих облачные сервисы, должны осуществлять резервное копирование виртуальных машин, защищать виртуальную сеть, обеспечивать безопасность гостевых операционных систем, контролировать доступ и оберегать учетные записи пользователей облака.

При использовании управляемых сервисов (PaaS/SaaS) забот на стороне конечного пользователя становится еще меньше, так как провайдер уже обеспечивает защиту более высокоуровневых слоев инфраструктуры. Он защищает виртуальные машины и выполняет резервное копирование базы данных.

Во всех этих ситуациях только клиент контролирует права доступа и должен ими управлять.