[[405614]]

隨著企業(yè)在疫情期間致力于為遠(yuǎn)程工作的員工提供支持，云計(jì)算的采用在過去一年中加速增長(zhǎng)。盡管這種采用增長(zhǎng)迅速，但企業(yè)經(jīng)常誤解一個(gè)關(guān)鍵的云計(jì)算概念：共享責(zé)任模型(SRM)。

許多企業(yè)管理者仍然在問“云計(jì)算安全嗎”?這個(gè)問題在現(xiàn)在來說并不恰當(dāng)。對(duì)于他們來說，更恰當(dāng)?shù)膯栴}應(yīng)該是，“作為安全團(tuán)隊(duì)，是否在保護(hù)我們?cè)谠浦械姆蓊~?”。絕大多數(shù)云數(shù)據(jù)泄露/泄漏都是由企業(yè)本身造成的。根據(jù)調(diào)研機(jī)構(gòu)Gartner公司的預(yù)測(cè)，到2025年，99%的云安全故障將是企業(yè)所犯的錯(cuò)誤。因此，所有安全從業(yè)人員都必須了解他們的職責(zé)。

什么是共享責(zé)任模型?

共享責(zé)任模型描述了作為云計(jì)算客戶的企業(yè)的責(zé)任以及云計(jì)算服務(wù)提供商的責(zé)任。云計(jì)算服務(wù)提供商負(fù)責(zé)云計(jì)算物理設(shè)施的安全，例如數(shù)據(jù)中心、電源、電纜、硬件等。企業(yè)負(fù)責(zé)云計(jì)算服務(wù)的安全，例如網(wǎng)絡(luò)控制、身份和訪問管理、應(yīng)用程序配置和數(shù)據(jù)等。

也就是說，這種職責(zé)分工可以根據(jù)企業(yè)使用的服務(wù)模式而改變。在基本層面上，美國(guó)國(guó)家標(biāo)準(zhǔn)和技術(shù)研究院(NIST)定義了三種主要的云服務(wù)模型：

• 基礎(chǔ)設(shè)施即服務(wù)(IaaS)：在基礎(chǔ)設(shè)施即服務(wù)(IaaS)模式下，云計(jì)算服務(wù)提供商負(fù)責(zé)物理數(shù)據(jù)中心、物理網(wǎng)絡(luò)和物理服務(wù)器/托管的安全。
• 平臺(tái)即服務(wù)(Paas)：在平臺(tái)即服務(wù)(Paas)模式中，云計(jì)算服務(wù)提供商承擔(dān)更多的責(zé)任，例如修補(bǔ)(客戶通常在這方面很糟糕，是導(dǎo)致安全事件的主要途徑)和維護(hù)操作系統(tǒng)。
• 軟件即服務(wù)(SaaS)：在軟件即服務(wù)(SaaS)中，企業(yè)只能在應(yīng)用程序的配置設(shè)置中進(jìn)行更改，其他一切的控制權(quán)都交給云計(jì)算服務(wù)提供商(例如Gmail)。

使用每種云計(jì)算服務(wù)都有一個(gè)權(quán)衡，企業(yè)需要放棄控制權(quán)以換取更多的交鑰匙/管理經(jīng)驗(yàn)，讓云計(jì)算服務(wù)提供商處理更多的安全事項(xiàng)，并讓企業(yè)專注于他們的核心競(jìng)爭(zhēng)力。

每個(gè)云計(jì)算服務(wù)提供商都有不同版本的共享責(zé)任模型(SRM)。

安全從業(yè)人員如何為共享責(zé)任模型(SRM)做準(zhǔn)備

雖然共享責(zé)任模型(SRM)涉及合同和財(cái)務(wù)影響等非安全問題，但它也包括若干安全考慮因素。安全從業(yè)者必須了解他們?cè)诠蚕碡?zé)任模型(SRM)中的職責(zé)，基于他們使用的服務(wù)以及他們組織的實(shí)現(xiàn)和架構(gòu)。還記得幾乎所有的云計(jì)算數(shù)據(jù)事件都發(fā)生在共享責(zé)任模型(SRM)的客戶端嗎?這是理解共享責(zé)任模型(SRM)并確保完成了模型的一部分的主要原因。

企業(yè)的職責(zé)取決于其兩個(gè)主要的安全角色：技術(shù)安全從業(yè)者或安全主管。技術(shù)安全從業(yè)者(如云安全工程師或云安全架構(gòu)師)需要了解企業(yè)正在使用哪些云計(jì)算服務(wù)，如何安全地構(gòu)建這些解決方案，以及企業(yè)的權(quán)限范圍內(nèi)哪些配置、設(shè)置和控制可以影響和引導(dǎo)更強(qiáng)健的安全態(tài)勢(shì)。

技術(shù)安全專業(yè)人員還應(yīng)該非常熟悉他們的公司正在使用的平臺(tái)和服務(wù)，并了解如何安全地實(shí)現(xiàn)。云安全工程師/架構(gòu)師通常與工程和開發(fā)團(tuán)隊(duì)合作。如果不能引導(dǎo)他們使用安全的解決方案，或者發(fā)現(xiàn)有風(fēng)險(xiǎn)的配置(記住這些配置是如何導(dǎo)致大多數(shù)云計(jì)算數(shù)據(jù)事件的)，那么其所在的公司就可能面臨巨大的風(fēng)險(xiǎn)。

企業(yè)可以向其合作的云計(jì)算服務(wù)提供商尋求安全資源。例如，AWS公司提供了一個(gè)令人難以置信的安全文檔數(shù)據(jù)庫(kù)，按類別(例如，計(jì)算、存儲(chǔ)、安全、身份和合規(guī)性)細(xì)分，企業(yè)可以在其中找到與其組織所使用的每項(xiàng)服務(wù)相關(guān)的細(xì)節(jié)。這包括關(guān)于如何安全地配置服務(wù)、企業(yè)以操縱哪些配置以及故障排除指南的大量信息。

安全主管的主要考慮事項(xiàng)包括清點(diǎn)服務(wù)使用情況(必須知道企業(yè)內(nèi)部正在使用什么服務(wù)，否則無法進(jìn)行保護(hù))、確保企業(yè)使用的服務(wù)符合適用的監(jiān)管框架，以及了解合同/法律方面，例如云計(jì)算服務(wù)提供商服務(wù)等級(jí)協(xié)議(SLA)，尤其是在事件響應(yīng)計(jì)劃等方面。

許多企業(yè)與云計(jì)算服務(wù)提供商建立伙伴關(guān)系并分擔(dān)責(zé)任。這包括確保企業(yè)使用的服務(wù)符合其必須遵守的監(jiān)管框架。超大規(guī)模云計(jì)算服務(wù)提供商使這些信息易于查找，AWS和Microsoft Azure等云計(jì)算供應(yīng)商提供“范圍內(nèi)的服務(wù)”頁(yè)面，企業(yè)可以在其中確定哪些服務(wù)符合哪些框架以及哪些仍在審批過程中。這有助于確保企業(yè)的團(tuán)隊(duì)不僅在云中構(gòu)建強(qiáng)大且安全的架構(gòu)和工作負(fù)載，也使用符合其適用框架的服務(wù)來避免合規(guī)性或監(jiān)管問題。

各級(jí)安全從業(yè)人員應(yīng)努力在其云環(huán)境中實(shí)現(xiàn)安全標(biāo)準(zhǔn)和最佳實(shí)踐。這可能意味著從各自的云計(jì)算服務(wù)提供商實(shí)現(xiàn)安全最佳實(shí)踐，或者為各自的云計(jì)算環(huán)境實(shí)施諸如互聯(lián)網(wǎng)安全中心(CIS)基準(zhǔn)之類的實(shí)踐。

客戶責(zé)任矩陣

處理共享責(zé)任模型(SRM)時(shí)的一個(gè)基本工件是客戶責(zé)任矩陣(CRM)，它列出了云計(jì)算服務(wù)提供商提供的控制以及留給云計(jì)算消費(fèi)者的責(zé)任。美國(guó)聯(lián)邦風(fēng)險(xiǎn)和授權(quán)管理計(jì)劃(FedRAMP)是找到模板客戶責(zé)任矩陣(CRM)并了解更多相關(guān)信息的好地方。FedRAMP是一個(gè)用于處理跨聯(lián)邦政府消費(fèi)的云服務(wù)產(chǎn)品的授權(quán)程序。

客戶責(zé)任矩陣(CRM)是安全從業(yè)人員使用的重要工具。在共享責(zé)任模型(SRM)中，安全控制或者完全由云計(jì)算服務(wù)提供商提供，混合控制(責(zé)任落在云計(jì)算服務(wù)提供商和云客戶身上)，或者完全留給客戶。安全從業(yè)人員可以利用客戶責(zé)任矩陣(CRM)來清楚地了解這種安全控制描述。

使用云計(jì)算服務(wù)可以將某些安全控制和活動(dòng)的責(zé)任轉(zhuǎn)移給云計(jì)算服務(wù)提供商，讓企業(yè)專注于他們的核心競(jìng)爭(zhēng)力。也就是說，它創(chuàng)建了安全專業(yè)人員必須理解和適當(dāng)處理的責(zé)任關(guān)系。需要記住的是，大多數(shù)云計(jì)算數(shù)據(jù)泄露都發(fā)生在共享責(zé)任模型(SRM)的客戶端，歸根結(jié)底，企業(yè)對(duì)自身的數(shù)據(jù)安全和聲譽(yù)負(fù)有全部責(zé)任。