Paylaşılan sorumluluk modeli

Bir dosya “bulutta” olduğunda, hiç tanımadığınız ve asla ziyaret etmeyeceğiniz bir şirkete ait bir sunucuda durur. Bu düzenleme güvenlik sorumluluğunu iki taraf arasında böler ve çoğu insan bir şeyler ters gitmeden bu bölünmenin nerede olduğunu öğrenmez. Her büyük bulut sağlayıcısı bu ayrımı açıkça belgeler, çünkü bunu her iki yönde de yanlış anlamak — sağlayıcının her şeyi kapsadığını varsaymak ya da sağlayıcının zaten hallettiği şeyleri güvenceye almaya çalışmak — gerçek olaylara yol açar.

Tek bir çizginin iki tarafı

Amazon Web Services bu ayrımın kendi versiyonuna paylaşılan sorumluluk modeli der ve bunu “bulutun güvenliği” ile “bulut içindeki güvenlik” olarak ikiye ayırır. AWS birincisinden sorumludur: “AWS Bulut hizmetlerini çalıştıran donanım, yazılım, ağ altyapısı ve tesisler” — yani fiziksel veri merkezleri, altyapı yamalaması, isteseniz bile asla kendi başınıza inceleyemeyeceğiniz veya yapılandıramayacağınız kısımlar. Müşteri ikincisinden sorumludur ve AWS, bulut depolama hizmetleri için bunun neleri kapsadığı konusunda nettir: “verilerini yönetmek (şifreleme seçenekleri dahil), varlıklarını sınıflandırmak ve IAM araçlarını kullanmak” — yani kimin erişebileceğine karar vermek.

Ayrım, ne kullandığınıza göre kayar

Microsoft’un belgeleri, farklı bulut hizmeti türleri arasında seçim yapan herkes için önemli bir noktaya değiniyor: ayrım çizgisi sabit değildir, hizmet modeline göre kayar. Microsoft’un sorumluluk tablosu; müşteri verilerini, hesap kimliklerini ve erişim yönetimini, ister yerinde ister bulutta olsun, her modelde her zaman müşterinin işi olarak listeler. Ancak altyapı-hizmet-olarak (kendinizin yapılandırdığı bir sanal makineyi kiralamak) modelinden yazılım-hizmet-olarak (bir e-posta veya dosya paylaşım hizmeti gibi hazır bir uygulamayı kullanmak) modeline doğru ilerledikçe, Microsoft daha fazlasını üstlenir: işletim sistemleri, uygulama kodu ve ağ yapılandırması giderek sizin değil Microsoft’un işi haline gelir. Microsoft’un kendi ifadesiyle asla değişmeyen şey, verilerinizin, hesaplarınızın, istemci cihazlarınızın ve erişim denetimlerinizin sorumluluğunu “her zaman sizin elinizde tuttuğunuz”dur.

Müşteri tarafı neden göründüğünden daha önemli

Hazır bir dosya paylaşım veya e-posta hizmeti kullanan bir STK için — sağlayıcının en çoğunu üstlendiği model olan yazılım-hizmet-olarak modelinde — sağlayıcının güvenliğinin artık hikayenin tamamı olduğunu varsaymak cazip gelebilir. Ama öyle değildir. Çizginin sağlayıcı tarafı (sunucuları, ağları, yamalamaları) büyük hizmetler için genellikle mükemmeldir; saldırganların doğrudan buraya saldırmayı nadiren tercih etmesinin tam nedeni de budur. Bunun yerine müşteri tarafını hedef alırlar: zayıf ya da tekrar kullanılan bir parola, amaçlanandan daha geniş paylaşılan bir bağlantı, ikinci faktörü olmayan bir hesap. Yukarıdaki “her zaman müşterinin işi” listesindeki her kategori, tesadüf değil, bu kursun bir sonraki dersinin de konusudur.

Kullandığınız her bulut hizmeti için sormaya değer bir soru

Hassas bir materyali bir bulut hizmetine emanet etmeden önce, o hizmetin kendi paylaşılan sorumluluk belgesini bulmaya (büyük sağlayıcıların hepsi bunu yayımlar) ve iki soru sormaya değer: sağlayıcı varsayılan olarak gerçekte neyi güvenceye alıyor, ve açıkça bana bırakılan ne? Cevap genellikle, o verinin güvenliğinin — bu kursun geri kalanında ele alınan — kendi alışkanlıklarınızdan hangilerine bağlı olduğunu netleştirir.