Model współdzielonej odpowiedzialności

Gdy plik jest „w chmurze”, znajduje się na serwerze należącym do firmy, której nigdy nie spotkałeś i nigdy nie odwiedzisz. Taki układ dzieli odpowiedzialność za bezpieczeństwo między dwie strony, a większość ludzi nigdy nie dowiaduje się, gdzie przebiega ta granica, dopóki coś nie pójdzie źle. Każdy większy dostawca chmury dokumentuje ten podział wprost, ponieważ pomylenie się w którymkolwiek kierunku — założenie, że dostawca zajmuje się wszystkim, albo próba zabezpieczania rzeczy, którymi dostawca już się zajmuje — prowadzi do prawdziwych incydentów.

Dwie strony jednej granicy

Amazon Web Services nazywa swoją wersję tego podziału modelem współdzielonej odpowiedzialności, dzieląc go na „bezpieczeństwo chmury” i „bezpieczeństwo w chmurze”. AWS odpowiada za pierwsze: „sprzęt, oprogramowanie, sieć i obiekty, na których działają usługi AWS Cloud” — fizyczne centra danych, aktualizowanie infrastruktury, elementy, których sam nigdy nie mógłbyś sprawdzić ani skonfigurować, nawet gdybyś chciał. Klient odpowiada za drugie, a AWS precyzyjnie określa, co to obejmuje w przypadku usług przechowywania w chmurze: „zarządzanie swoimi danymi (w tym opcjami szyfrowania), klasyfikowanie swoich zasobów i korzystanie z narzędzi IAM” — czyli decydowanie, kto ma do nich dostęp.

Granica przesuwa się w zależności od tego, czego używasz

Dokumentacja Microsoftu zwraca uwagę na coś ważnego dla każdego, kto wybiera między różnymi rodzajami usług chmurowych: granica podziału nie jest stała, przesuwa się w zależności od modelu usługi. Tabela odpowiedzialności Microsoftu wymienia dane klienta, tożsamości kont i zarządzanie dostępem jako zawsze należące do klienta, w każdym modelu, lokalnie czy w chmurze. Ale w miarę przechodzenia od infrastruktury jako usługi (wynajęcie maszyny wirtualnej, którą sam konfigurujesz) w stronę oprogramowania jako usługi (korzystanie z gotowej aplikacji, takiej jak poczta czy usługa udostępniania plików), Microsoft przejmuje coraz więcej: systemy operacyjne, kod aplikacji i konfiguracja sieci w coraz większym stopniu stają się zadaniem Microsoftu, a nie twoim. To, co nigdy się nie przesuwa, w słowach samego Microsoftu, to fakt, że „zawsze zachowujesz” odpowiedzialność za swoje dane, konta, urządzenia klienckie i kontrolę dostępu.

Dlaczego strona klienta znaczy więcej, niż się wydaje

Dla organizacji pozarządowej korzystającej z gotowej usługi udostępniania plików lub poczty — oprogramowania jako usługi, modelu, w którym dostawca zajmuje się najwięcej — kusi, by założyć, że bezpieczeństwo dostawcy to teraz cała historia. Nie jest. Strona dostawcy (jego serwery, sieć, aktualizacje) jest zwykle znakomita w przypadku większych usług; to właśnie dlatego atakujący rzadko zawracają sobie głowę bezpośrednim atakiem na nią. Zamiast tego celują w stronę klienta: słabe lub powtórnie użyte hasło, link udostępniony szerzej niż zamierzono, konto bez drugiego składnika uwierzytelnienia. Każda kategoria z powyższej listy „zawsze zadanie klienta” jest też, nieprzypadkowo, tematem kolejnej lekcji tego kursu.

Pytanie warte zadania o każdą używaną usługę chmurową

Zanim powierzysz usłudze chmurowej wrażliwe materiały, warto znaleźć jej własną dokumentację współdzielonej odpowiedzialności (wszyscy więksi dostawcy taką publikują) i zadać dwa pytania: co dostawca faktycznie zabezpiecza domyślnie, a co jest wyraźnie pozostawione mnie? Odpowiedź zwykle wyjaśnia dokładnie, od których twoich własnych nawyków — omówionych w reszcie tego kursu — faktycznie zależy bezpieczeństwo tych danych.