云共享责任模型的主要目标是定义或识别与安全性和遵从性相关的客户责任. 这种模式可以帮助减轻客户在云服务提供商(CSP)运营时的运营负担, 管理和控制主机操作系统, 基础设施组件和设施的实际物理安全性.
客户根据服务模型(基础设施即服务[IaaS])负责管理客户操作系统和应用软件组件。, 平台即服务, 软件即服务(SaaS).
图1 总结了每个模型中典型CSP与其客户所拥有的控件.
图1 SCP及其客户拥有的控制项
| 控制区域 | IaaS | PaaS | SaaS |
|---|---|---|---|
| 物理控制-数据中心的物理访问仅限于授权人员，并建立机制，以尽量减少故障或物理灾难对数据中心设施的影响 | CSP | CSP | CSP |
| 环境控制-控制系在火灾监视器上, 空调或其他数据中心活动，以支持减少灾害风险 |
CSP |
CSP |
CSP |
| 数据完整性和机密性-控制以提供合理的保证，确保客户和主机服务提供商之间的数据处理是安全的 |
客户 |
客户 |
客户 |
| 身份和访问管理 | 客户 | 共享 | 共享 |
| 访问策略-逻辑访问限制，以确定未经授权的访问 |
客户 |
客户 |
客户 |
| 身份管理-安全控制用户对服务和资源的访问 |
客户 |
CSP |
CSP |
| 访问和身份验证-多因素身份验证(MFA)控制跨层访问环境 |
客户 |
CSP |
CSP |
| 应用层进程 | 客户 | 共享 | CSP |
| App 保护-采用加固或补丁管理等控制措施，以确保足够的安全性 |
客户 |
CSP |
CSP |
| 特定于应用程序的逻辑和代码-控制整个应用程序开发生命周期 |
客户 |
客户 |
CSP |
| 网络管理 | 共享 | CSP | CSP |
| 网络安全与配置-控制对网络安全问题的保护, 包括分布式拒绝服务(DDoS), man-in-the-middle-attacks (MitM), 互联网协议(IP)欺骗, 端口扫描或包嗅探 |
客户 |
CSP |
CSP |
| 网络—网线及其他网络部件 |
CSP |
CSP |
CSP |
| 网络监控,控制周围的网络使用，端口扫描，应用程序使用或未经授权的入侵尝试 |
CSP |
CSP |
CSP |
如何在实践中应用责任共担模式
共享责任模型的实际适用性取决于用例. 客户的责任取决于各种因素，如服务模式, 服务及营运区域, 客户的IT环境, 以及监管要求.
然而，也有 练习 这可以帮助客户确定基于特定用例的责任分配, 包括:
- 确定外部和内部安全以及相关的合规要求和目标. 可以考虑行业框架和标准，如美国国家标准与技术研究院(NIST)网络安全框架(CSF)和国际标准化组织(ISO)标准.
- 对第三方审计证明文档进行审查，以确定继承的和补充的用户实体控制(cuec).
- 评估云计算服务提供商(csp)提供的安全和合规相关服务.
- 接受特定于CSP的培训，以充分了解客户的责任，并充分利用CSP提供的任何服务和功能.
编者按: 想要进一步了解这个话题，请阅读Jai Sisodia和Mohammed Khan最近在《澳门赌场官方下载》上发表的文章， “理解云服务中的责任共享模型”， ISACA杂志，第三卷，2022年
