Współdzielona odpowiedzialność w chmurze – kluczowy element ISO 27017

Model chmury obliczeniowej całkowicie zmienił sposób myślenia o bezpieczeństwie IT. W tradycyjnej infrastrukturze organizacja odpowiadała za większość aspektów ochrony danych – od sprzętu po aplikacje. W chmurze ten podział nie jest już tak prosty. Wraz z przeniesieniem systemów do środowisk SaaS, PaaS czy IaaS pojawia się model współdzielonej odpowiedzialności, który określa, które elementy zabezpiecza dostawca, a które pozostają po stronie klienta.

Zrozumienie tego modelu jest jednym z kluczowych elementów skutecznego zarządzania bezpieczeństwem w chmurze, a jego zasady zostały doprecyzowane w standardzie ISO/IEC 27017.

Jak działa model współdzielonej odpowiedzialności i gdzie leżą granice?

Model współdzielonej odpowiedzialności opiera się na podziale zadań związanych z bezpieczeństwem pomiędzy dostawcę usług chmurowych a organizację korzystającą z tych usług.

 Dostawca chmury odpowiada zazwyczaj za:

• fizyczne bezpieczeństwo infrastruktury (serwerownie, sprzęt),
• dostępność i stabilność platformy,
• zabezpieczenia warstwy podstawowej (hiperwizor, sieć, infrastruktura).

Klient natomiast odpowiada za:

• zarządzanie danymi i ich klasyfikację,
• konfigurację usług i uprawnień użytkowników,
• kontrolę dostępu do aplikacji i zasobów,
• szyfrowanie danych oraz zarządzanie kluczami (w zależności od modelu usługi).

Granica odpowiedzialności zmienia się w zależności od modelu (SaaS, PaaS, IaaS), dlatego brak jej jasnego zrozumienia często prowadzi do luk w bezpieczeństwie.

Najczęstsze błędy i rola ISO 27017 w ich eliminowaniu

Jednym z najczęstszych problemów organizacji korzystających z chmury jest błędne założenie, że dostawca odpowiada za pełne bezpieczeństwo danych. W praktyce prowadzi to do zaniedbań po stronie klienta. Do typowych błędów należą:

• nieprawidłowe konfiguracje dostępów (np. zbyt szerokie uprawnienia),
• brak kontroli nad kontami użytkowników i ich cyklem życia,
• brak szyfrowania danych lub niewłaściwe zarządzanie kluczami,
• niejasne zasady tworzenia i odtwarzania kopii zapasowych,
• brak monitorowania aktywności w środowisku chmurowym.

ISO 27017 porządkuje te kwestie, dostarczając szczegółowych wytycznych dotyczących podziału obowiązków oraz rekomendowanych zabezpieczeń. Dzięki temu organizacje mogą lepiej zrozumieć, które obszary wymagają ich aktywnego zaangażowania.

Przykłady odpowiedzialności i lista kontrolna dla organizacji

W zależności od modelu usług, podział odpowiedzialności może wyglądać inaczej:

• SaaS: dostawca zarządza niemal całą infrastrukturą, klient odpowiada głównie za dane i użytkowników,
• PaaS: dostawca zabezpiecza platformę, klient odpowiada za aplikacje i dane,
• IaaS: dostawca zapewnia infrastrukturę, klient zarządza systemami operacyjnymi, aplikacjami i danymi.

Przykładowe obszary, które organizacja powinna regularnie weryfikować:

1. czy dostęp do zasobów jest ograniczony zgodnie z zasadą minimalnych uprawnień,
2. czy dane są szyfrowane w transmisji i w spoczynku,
3. czy kopie zapasowe są tworzone i testowane,
4. czy logi bezpieczeństwa są zbierane i analizowane,
5. czy role i uprawnienia są aktualne i regularnie przeglądane.

ISO 27017 pomaga uporządkować te działania i przypisać im jasne ramy odpowiedzialności, co znacząco zmniejsza ryzyko błędów wynikających z niejednoznaczności w środowisku chmurowym.