Почему приходится разделять ответственность за безопасность в облаке?

Представьте: вы арендовали современный автомобиль, но оставили его на общественной парковке с открытым окном, ключами в бардачке и ценными вещами на заднем сиденье. Кто будет виноват в краже? Арендодатель, предоставивший надёжный автомобиль, или вы, не обеспечивший его сохранность?

По схожему принципу устроена и безопасность в публичном облаке. Провайдер отвечает за безопасность самого «автомобиля» — физических серверов, сетей и гипервизора. Но всё, что происходит «в салоне» — конфигурация, права доступа, данные и приложения — это ваша зона ответственности. Если из-за ошибки в настройках прав доступа к объектному хранилищу или критической уязвимости в операционной системе ваше облако окажется под ударом, последствия инцидента лягут только на вас.

Безопасность в облаке — это совместная работа. Модель разделения ответственности, которую используют все ведущие провайдеры, чётко распределяет зоны контроля: провайдер защищает инфраструктуру, а клиент отвечает за то, что он в ней размещает — данные, приложения и настройки доступа.

Классическая ошибка безопасности в облаке — это «слепые зоны» ответственности. Они возникают, когда и клиент, и провайдер думают, что защитой определённого участка инфраструктуры занимается другая сторона. Клиент полагает, что провайдер защищает всё «по умолчанию», а провайдер ожидает, что клиент настроит защиту для своих данных и приложений. В результате эти неконтролируемые участки становятся источниками угроз и векторами для атак, так как за них по факту никто не отвечает.

Конкретные границы ответственности зависят от модели предоставления услуг провайдером услуг: IaaS, PaaS или SaaS. Далее мы разберём, как распределяется ответственность в каждой модели, какие инструменты и меры помогут контролировать вашу зону — это поможет вам выстроить эффективную стратегию защиты.

IaaS, PaaS, SaaS: разные модели предоставления услуг — разные зоны ответственности

Чтобы понять, за что отвечает ИБ-отдел в вашей компании, нужно знать, по какой модели вам предоставляет услуги провайдер: IaaS, PaaS или SaaS.

Продолжим аналогию с автомобилем, чтобы показать разницу между моделями облачных услуг и разграничением ответственности в каждой. Ведь вы можете использовать личный автомобиль, каршеринг или такси — и в каждом случае ваша ответственность будет разной.

Вне зависимости от модели предоставления услуг неизменным будет одно: базовая инфраструктура всегда будет в зоне ответственности провайдера, а вы всегда будете в ответе за управление доступом пользователей к данным.

За что отвечает провайдер?

Облачные провайдеры не зря едят свой хлеб: за надежность и безопасность компонентов инфраструктуры в зоне их ответственности можно не волноваться. Это подтверждается статистикой. Gartner предупреждает: в 2025 году виновником 99% облачных инцидентов безопасности будет сам клиент.

Для большинства организаций переход в облако — это реальный апгрейд безопасности. За защиту инфраструктуры провайдера отвечает команда высококвалифицированных и дефицитных специалистов, которую не все могут позволить себе в штате. При обслуживании по моделям PaaS и особенно SaaS организация может полностью доверить информационную безопасность провайдеру — при условии, что её специалисты четко знают, что остается в их зоне ответственности.

В таблице ниже представлены все уровни облачной архитектуры и разграничение ответственности за безопасность в них в зависимости от модели предоставления услуг провайдером. Критически важно понимать границы ответственности для каждого используемого сервиса, так как один проект может одновременно использовать все три модели (IaaS, PaaS, SaaS).

Как видите, чем дальше мы уходим от модели IaaS, тем больше забот по безопасности берет на себя провайдер. Но в любом случае он отвечает, как минимум, за три нижних уровня облачной инфраструктуры: дата-центр, оборудование и сеть.

Как контролировать риски в вашей зоне ответственности?

Разберём по уровням, что вам нужно защищать при использовании IaaS и PaaS в публичном облаке и какие инструменты для этого использовать. Основное внимание уделим модели IaaS — она возлагает на клиента максимальный объем ответственности и наиболее популярна на российском рынке. Мы также покажем, как меняется ваша роль в PaaS для уровней, где ответственность распределяется наиболее неочевидно (например, при использовании управляемых кластеров Kubernetes).

Модель SaaS в этом обзоре не рассматриваем — там провайдер берет на себя почти всю ответственность за безопасность платформы и ваша задача сводится к контролю данных и управлению доступом к ним.