什麼是雲端共同責任模型？

雲端共同責任模型是雲端安全中的關鍵概念。我們的指南提供此模型的全面概述，說明雲端供應商與客戶在確保雲端資源安全方面的角色與責任。

了解共同責任模型的不同層面，包括實體基礎架構、網路控制與應用程式層級安全。

客戶在雲端共同責任模型中必須處理的主要安全風險

當組織為其業務評估雲端安全時，高階主管與技術負責人應考量他們及其客戶在雲端共同責任模型中面臨的風險。這些風險可歸類為以下主題：

• 未經授權的存取 – 組織需要確保具備強大的驗證與存取控制，以防止對敏感資料與應用程式的未經授權存取。這包括管理使用者身分、強制執行高強度密碼與多重要素驗證，並根據使用者角色與權限限制對敏感資料與應用程式的存取。
• 資料外洩 – 確保適當的加密與資料保護機制，有助於組織保護靜態與傳輸中的資料。這包括使用強健的加密演算法、實作安全的資料傳輸通訊協定，以及監控異常的資料存取模式與活動。
• 惡意軟體與病毒 – 惡意軟體與病毒可透過多種方式感染雲端環境，例如電子郵件附件、軟體下載或遭入侵的端點。組織必須投資適當的防毒與惡意軟體防護，並定期執行軟體更新與修補，以防止漏洞。
• 內部威脅 – 內部威脅，例如對雲端資源具有授權存取權限的員工或承包商，可能構成重大安全風險。可部署適當的存取控制與監控機制，以偵測並防止內部威脅。這包括監控使用者活動、實施資料外洩防護措施，以及定期進行安全稽核與評估。
• 法規遵循違規 – 雲端客戶也需要了解法規遵循規範並確保遵循。這包括 HIPAA、PCI-DSS 與 GDPR 等法規。在這些法規架構下，組織依法必須確保其雲端環境符合安全與隱私標準，並具備適當的資料管理與保留政策。

透過處理這些安全風險，客戶可協助確保其雲端環境的安全性與可靠性，同時遵循法規要求並保護其敏感資料與應用程式。

定義雲端共同責任模型的重要性

雲端共同責任模型是雲端安全中的重要概念，說明雲端服務供應商及其客戶雙方的責任。此模型可確保雙方了解自己在保護雲端資產方面的角色，並避免混淆與誤解。

在此模型中，與保護及管理雲端環境相關的責任有明確界定：

• 雲端服務供應商通常負責保護雲端基礎架構，包括實體資料中心、網路與伺服器硬體。
• 客戶負責保護其在雲端基礎架構上執行的應用程式、資料與作業系統。

雲端共同責任模型在雲端安全中至關重要，因為它釐清了各方的責任範圍，確保雲端安全全面且有效。若未建立此模型，各方將很難判定誰應對雲端安全負責，進而導致安全涵蓋範圍出現缺口或工作重複。

CNAPP Market Guide

Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.

Read Guide

識別雲端服務模型之間的差異

基礎架構即服務 (IaaS)、平台即服務 (PaaS) 與軟體即服務 (SaaS) 是現今雲端型組織常用的三大雲端服務模型。它們在控制程度以及客戶對雲端資源所承擔的責任多寡方面有所不同。

基礎架構即服務 (IaaS)

在 IaaS 模型中，雲端供應商提供可作為實體硬體替代方案的虛擬化基礎架構。客戶可租用運算資源，例如虛擬機器、儲存體與網路元件，並使用這些資源執行其應用程式或服務。客戶對在此基礎架構上執行的作業系統、中介軟體與應用程式擁有完整控制權，並負責管理它們。

然而，在 IaaS 模型中，客戶負責保護其應用程式與資料，並管理備份、災難復原，以及其他與作業系統和應用程式相關的工作。這可能需要大量專業知識與資源，對某些組織而言可能具有挑戰性。

平台即服務 (PaaS)

在 PaaS 模型中，雲端供應商提供用於建置、部署及管理應用程式的平台。該平台包含執行階段環境、開發工具，以及可用於開發與部署應用程式的預先建置元件。因此，如果客戶管理底層基礎架構，便可專注於開發與部署其應用程式。供應商會負責基礎架構，例如伺服器、儲存與網路，以及作業系統和中介軟體。客戶可管理其應用程式與資料，而無需擔心基礎架構。

PaaS 在彈性與便利性之間提供平衡。它讓客戶能專注於開發與部署其應用程式，而由供應商管理底層基礎架構。它也提供標準化的開發環境，有助於縮短開發時間並提高生產力。然而，PaaS 在自訂與與其他系統整合方面可能存在一些限制。

軟體即服務 (SaaS)

在 SaaS 模型中，雲端供應商透過網際網路提供軟體應用程式，客戶可透過網頁瀏覽器或用戶端應用程式存取並使用。供應商負責底層基礎架構、作業系統與應用程式軟體，而客戶則負責根據其需求設定並使用該軟體。因此，客戶無須擔心基礎架構管理或軟體更新。

SaaS 提供最高程度的便利性，因為供應商會處理與軟體應用程式相關的一切事務。客戶可專注於使用軟體並依需求進行自訂。然而，SaaS 的自訂選項可能有限，且客戶可能需要依賴供應商提供支援與更新。

整體而言，雲端服務模型的選擇取決於組織的特定需求與要求。IaaS 提供最高程度的彈性與控制，但需要更多專業知識與資源。PaaS 在彈性與便利性之間取得平衡，而 SaaS 則提供最高的便利程度，但自訂選項可能有限。

了解雲端共同責任模型的不同層面

雲端共同責任模型由三個層面組成：基礎架構、平台與應用程式。每個層面代表不同程度的責任，並需要雲端服務供應商及其客戶投入不同程度的參與。

基礎架構層

基礎架構層是雲端共同責任模型的基礎。它包含雲端基礎架構的實體與虛擬元件，例如伺服器、儲存設備和網路裝置。此外，雲端服務供應商負責基礎架構層的安全性，包括實體安全、網路安全和存取控制。

客戶負責保護其在基礎架構層上的資料與應用程式安全。他們必須確保使用安全通訊協定並實作適當的存取控制。他們也負責確保其應用程式與資料被安全地儲存，並在必要時使用加密。

平台層

平台層是雲端服務供應商為客戶提供平台以建置和部署其應用程式的地方。平台層包括作業系統、執行階段環境和資料庫。雲端服務供應商負責保護平台層安全，包括修補與更新軟體、確保其安全設定，以及提供存取控制。

客戶負責保護其在平台層上的應用程式與資料安全。他們必須確保其應用程式是安全的、使用安全通訊協定，並在必要時使用加密。他們也負責正確設定其應用程式並實作適當的存取控制。

應用程式層

應用程式層是客戶在雲端服務供應商平台上部署其應用程式的地方。雲端服務供應商不負責保護應用程式層安全；這是客戶的責任。然而，客戶必須確保其應用程式是安全的，並且使用安全通訊協定。他們也負責實作適當的存取控制並保護其資料。

雲端服務供應商與客戶的責任

雲端服務供應商及其客戶會依據雲端共同責任模型的不同層級承擔不同責任。參考本部落格上一節中的三個層級，以下是依層級劃分的責任說明。

基礎架構層責任

雲端服務供應商在基礎架構層負責以下事項：

• 承載基礎架構的資料中心之實體安全
• 網路安全，包括防火牆和入侵偵測系統
• 修補與更新基礎架構元件
• 提供存取控制並監控異常活動

客戶在基礎架構層負責以下事項：

• 保護其資料與應用程式安全
• 確保使用安全通訊協定，例如 SSL/TLS
• 為其應用程式與資料實作適當的存取控制
• 在必要時使用加密

平台層責任

雲端服務供應商在平台層負責以下事項：

• 修補與更新作業系統及軟體元件
• 安全地設定平台，例如停用不必要的服務並實作存取控制
• 為平台提供存取控制

客戶在平台層負責以下事項：

• 保護其應用程式與資料安全
• 確保使用安全通訊協定，例如 SSH
• 正確且安全地設定其應用程式
• 為其應用程式與資料實作適當的存取控制

應用程式層責任

客戶在應用程式層負責以下事項：

• 保護其應用程式與資料安全
• 確保使用安全通訊協定，例如 HTTPS
• 為其應用程式與資料實作適當的存取控制
• 透過加密敏感資訊來保護其資料安全

理解雲端責任的另一種方式

還有另一種模型可用來說明雲端共同責任模型的不同層級。此模型不是使用基礎架構、平台和應用程式這三個層級，而是將責任歸類為更廣泛的關注主題。

• 實體安全 – 雲端服務供應商負責保護執行雲端基礎架構的實體資料中心與硬體安全。這包括提供實體安全措施，例如存取控制、視訊監控和入侵偵測系統。
• 網路安全 – 雲端服務供應商負責保護雲端網路基礎架構安全，包括防火牆、路由器和交換器。他們必須確保網路基礎架構受到保護，免於未經授權的存取和網路攻擊。
• 主機基礎架構安全 – 雲端服務供應商負責保護底層主機基礎架構安全，包括 Hypervisor、虛擬機器和作業系統。這包括確保主機基礎架構已完成修補並保持最新狀態，以及及時處理任何弱點。
• 應用程式安全 – 客戶負責保護在雲端基礎架構上執行的應用程式安全。這包括設定存取控制、實作加密，以及確保符合法規要求。
• 資料安全 – 客戶負責保護儲存在雲端基礎架構上的資料。這包括實作加密、存取控制，以及資料備份與復原措施。

Amazon AWS、Google Cloud 與 Microsoft Azure 在雲端共同責任模型上的不同作法

Amazon AWS、Google Cloud 與 Microsoft Azure 是市場上領先的雲端服務供應商。各自對雲端共同責任模型的獨特作法，使它們有所區別。

Amazon AWS 共同責任模型

Amazon AWS 為其客戶提供全面的共同責任模型。根據 AWS 的說法，他們負責雲端基礎架構的安全，而客戶則負責雲端中的安全。AWS 負責保護底層基礎架構，例如實體伺服器、網路與 Hypervisor。另一方面，客戶則負責保護其應用程式、資料與作業系統。

在 AWS 共同責任模型下，客戶對其資料與應用程式擁有完整控制權。他們負責設定其安全群組、網路存取控制清單與防火牆。此外，客戶可使用 AWS 服務，例如 AWS Identity and Access Management (IAM)、AWS CloudTrail 與 AWS Config，進一步保護其環境。

Google Cloud 共同責任模型

Google Cloud 對共同責任模型採取不同的方法。根據 Google Cloud 的說法，他們負責基礎架構的安全，而客戶則負責保護其應用程式與資料。這種作法讓客戶承擔比雲端服務供應商更多的責任。

在 Google Cloud 共同責任模型下，客戶負責設定其防火牆、建立存取控制，以及保護其應用程式與資料。此外，Google Cloud 提供多種工具協助客戶保護其環境，包括 Google Cloud IAM、Google Cloud Security Command Center 與 Google Cloud DLP。

Microsoft Azure 共同責任模型

Microsoft Azure 提供與 Amazon AWS 類似的共同責任模型。根據 Microsoft 的說法，他們負責雲端基礎架構的安全，而客戶則負責雲端中的安全。這種作法讓雲端服務供應商承擔比客戶更多的責任。

在 Microsoft Azure 共同責任模型下，客戶負責保護其應用程式、資料與存取控制。他們可以使用 Azure Security Center、Azure Active Directory，以及 Azure Security and Compliance 工具，進一步保護其環境。

實作雲端共同責任模型的最佳實務

實作雲端共同責任模型需要雲端服務供應商與其客戶之間的協作與溝通。在實作此模型時，可將以下最佳實務作為起始指引：

• 了解您的責任 – 清楚了解您對於在雲端基礎架構上執行的所有應用程式、資料與作業系統安全所承擔的任何責任。
• 遵循安全最佳實務 – 遵循業界標準的最佳實務，例如使用高強度密碼、啟用 多重要素驗證，以及實作加密，可在使用雲端時確保長期成功。
• 實作存取控制 – 應根據使用者角色與權限授予對敏感資料與應用程式的存取權。
• 定期監控並更新安全措施 – 指派安全團隊密切監控日益增加的雲端風險威脅態勢。確保及時更新安全措施，以因應任何弱點或新威脅。
• 遵循法規 – 與法律專家合作，了解任何適用的法規，例如 HIPAA、PCI-DSS 與 GDPR。

See SentinelOne in Action

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

結論

雲端共同責任模型是雲端安全中的關鍵概念。它釐清了在保護雲端資產時，雲端服務供應商與其客戶各自的角色與責任。透過了解此模型的不同層級及其各自責任，雲端服務供應商與客戶可以共同合作，確保其雲端環境既安全又有效。