1.6 共同责任模型

共同责任模型

共同责任是在IT领域中随着云计算的出现而形成的一个新概念。从网络安全的角度来看，了解谁在提供哪些安全控制措施至关重要，以确保没有防御漏洞。

简介

在这节课中，我们将涵盖以下内容：

• 在网络安全背景下，什么是共同责任？

• IaaS、PaaS和SaaS之间在安全控制方面的共同责任有何不同？

• 如何了解你的云平台提供了哪些安全控制措施？

• 什么是“信任但验证”？

在网络安全背景下，什么是共同责任？

网络安全中的共同责任是指云服务提供商（CSP）与其客户之间的安全责任分配。在云计算环境中，如基础设施即服务（IaaS）、平台即服务（PaaS）和软件即服务（SaaS），CSP和客户都需要在确保数据、应用程序和系统的安全性方面发挥作用。

IaaS、PaaS和SaaS之间在安全控制方面的共同责任有何不同？

责任的划分通常取决于所使用的云服务类型：

• IaaS（基础设施即服务）：CSP提供基础架构（服务器、网络、存储），而客户负责在其上管理操作系统、应用程序和安全配置。

• PaaS（平台即服务）：CSP提供一个平台，客户可以在其上构建和部署应用程序。CSP管理底层基础设施，而客户专注于应用开发和数据安全。

• SaaS（软件即服务）：CSP提供完全功能的应用程序，可通过互联网访问。在这种情况下，CSP负责应用程序的安全性和基础设施，而客户则管理用户访问和数据使用。

理解共同责任至关重要，因为它明确了由CSP覆盖的安全方面以及客户需要处理的安全方面。这有助于避免误解，并确保全面实施安全措施。

如何了解你的云平台提供了哪些安全控制措施？

要了解你的云平台提供了哪些安全控制措施，你需要参考云服务提供商的文档和资源。这些包括：

• CSP的网站和文档：CSP的网站会有关于其提供的安全特性和控制措施的信息。CSP通常会提供详细的文档，解释他们的安全实践、控制措施和建议。这可能包括白皮书、安全指南和技术文档。

• 安全评估和审计：大多数CSP会由独立的安全专家和组织对其安全控制措施进行评估。这些审查可以提供关于CSP安全措施质量的见解。有时这会导致CSP获得安全合规证书（见下一条）。

• 安全合规认证：大多数CSP会获得ISO:27001、SOC 2和FedRAMP等认证。这些认证表明提供商达到了特定的安全和合规标准。

请记住，不同云提供商提供的详细程度和信息可用性可能会有所不同。始终确保你咨询的是由云服务提供商提供的官方和最新的资源，以便就你的基于云的资产的安全性做出明智的决策。

什么是“信任但验证”？

在使用CSP、第三方软件或其他IT安全服务时，一个组织可能会首先信任提供商关于安全措施的声明。然而，为了真正确保数据和系统的安全性，他们需要通过安全评估、渗透测试和对外部方的安全控制措施进行审查来验证这些声明，然后再将软件或服务完全集成到其运营中。所有个人和组织都应该寻求信任但验证那些他们不负责的安全控制措施。

组织内的共同责任

请记住，在组织内部，不同团队的安全责任共同承担也是需要考虑的因素。安全团队很少会独自实施所有控制措施，而是需要与运营团队、开发人员和其他业务部门合作，以实施所有必要的安全控制措施，确保组织的安全。

进一步阅读

• 云中的共同责任 - Microsoft Azure | Microsoft 学习
• 什么是共同责任模型？ - TechTarget.com 定义
• 共同责任模型解释及对云安全的意义 | CSO Online
• 云安全的共同责任：你需要知道什么 (cisecurity.org)

声明:
本文件灏天文库团队进行了翻译。尽管我们力求准确，但请注意，翻译可能包含错误或不准确之处。原文档以其原始语言为准。我们不对因使用此翻译而产生的任何误解或误译负责。