Responsabilitatea partajată în cloud: cine protejează ce

Modelul responsabilității partajate spune, simplu, că securitatea în cloud nu aparține nici doar furnizorului, nici doar clientului. Fiecare apără o parte: furnizorul protejează infrastructura pe care rulează serviciile, iar tu protejezi ceea ce pui pe ea și modul în care o folosești. Neînțelegerea acestei împărțiri stă în spatele multor incidente de securitate din cloud.

O analogie utilă este închirierea unui apartament. Proprietarul răspunde de structura clădirii, de ușa de la intrare și de instalații. Tu răspunzi de ușa apartamentului, pe care o încui sau nu, și de cine primește cheia. Dacă lași ușa deschisă, nu poți da vina pe constructor.

Ce securizează furnizorul de cloud?

Furnizorul securizează infrastructura de bază: clădirile centrelor de date, accesul fizic, hardware-ul, rețeaua internă și software-ul care face posibilă virtualizarea. Aceasta este partea „din cloud”, pe care clientul nu o poate nici vedea, nici modifica.

Concret, furnizorul se ocupă de:

• paza și controlul accesului în centrele de date, descrise pe larg în Centrele de date: cum funcționează și ce resurse consumă;
• alimentarea cu curent, răcirea și înlocuirea echipamentelor defecte;
• izolarea dintre clienți, bazată pe mecanismele din Virtualizarea: cum rulează mai multe calculatoare pe unul;
• actualizarea platformei pe care rulează serviciile sale;
• disponibilitatea de bază a serviciilor, conform contractului.

Furnizorii mari angajează echipe de securitate pe care puține companii și-ar permite să le aibă singure. De aceea, o infrastructură bine ținută la un furnizor serios este adesea mai sigură decât o sală de servere improvizată într-o firmă mică.

Ce rămâne în responsabilitatea ta?

Rămân datele tale, conturile, permisiunile și configurarea serviciilor. Furnizorul îți dă unelte, dar tu hotărăști cum le folosești. Nimeni altcineva nu va ști dacă un fișier trebuia să fie public sau privat.

Responsabilitățile clientului includ:

1. Gestionarea accesului. Cine are cont, cu ce drepturi, și dacă acele drepturi mai sunt necesare.
2. Protejarea conturilor. Parole puternice și autentificare în doi pași, subiecte tratate în Parolele puternice și managerele de parole explicate și Autentificarea în doi pași (2FA): tipuri și avantaje.
3. Configurarea corectă a serviciilor. Reguli de rețea, spații de stocare private, jurnale de activitate pornite.
4. Criptarea și gestionarea cheilor, acolo unde serviciul o cere.
5. Copiile de siguranță, conform regulii din Backupul datelor: regula 3-2-1 explicată pe înțeles.
6. Respectarea legilor privind datele personale, indiferent unde stau serverele.

Ultimul punct este adesea neglijat. Faptul că datele sunt la un furnizor nu te scutește de obligațiile de proprietar al lor. Pentru locul stocării și implicațiile lui legale, vezi Suveranitatea datelor: de ce contează unde sunt stocate.

Cum se schimbă împărțirea după tipul de serviciu?

Cu cât serviciul este mai gestionat, cu atât furnizorul preia mai multe responsabilități. Linia dintre părți se mută în sus pe măsură ce treci de la închirierea unui server la folosirea unei aplicații gata făcute.

Observă că în ultima coloană nu dispar niciodată datele și accesul. Chiar într-o aplicație complet gestionată, tu decizi cine are parola, cine primește linkuri de partajare și ce informații încarci. Diferențele dintre cele trei modele sunt detaliate în IaaS, PaaS și SaaS: diferențele explicate simplu.

Care sunt cele mai frecvente greșeli de configurare?

Majoritatea scurgerilor de date din cloud vin din configurări greșite făcute de clienți, nu din atacuri sofisticate asupra furnizorilor. Greșelile sunt banale și, din fericire, evitabile.

• Spații de stocare publice din greșeală. Un dosar cu documente interne, setat accesibil oricui are linkul. Roboții de căutare verifică sistematic astfel de adrese.
• Permisiuni prea largi. Un cont care poate face orice, folosit pentru o sarcină care cere un singur drept. Regula bună este „privilegiul minim”: fiecare cont primește doar ce-i trebuie.
• Chei de acces în cod. Parole și chei lăsate în fișiere publicate, la vedere.
• Conturi uitate. Un fost coleg sau un furnizor extern, cu acces rămas activ ani de zile.
• Jurnale oprite. Fără istoricul activităților, nu afli nici cine a făcut o modificare, nici când.
• Actualizări amânate pe serverele pe care le administrezi tu, ca la orice calculator; vezi Actualizările de software: de ce contează și cum le aplici corect.

Sfat: Fă o dată pe trimestru un inventar de acces: cine are cont, ce drepturi are și când a folosit ultima oară contul. Conturile nefolosite se dezactivează.

Cum verifici că ți-ai făcut partea?

Începe cu o listă scurtă de verificări, repetată periodic. Nu cere cunoștințe de specialist, doar disciplină.

1. Activează autentificarea în doi pași pe toate conturile administrative.
2. Verifică ce spații de stocare sau dosare sunt accesibile public și închide-le pe cele care nu trebuie.
3. Redu permisiunile la strictul necesar, mai ales pentru conturile folosite de aplicații.
4. Pornește jurnalele de activitate și păstrează-le într-un loc separat.
5. Testează o restaurare din copia de siguranță, nu doar existența ei.
6. Notează cine este responsabil de fiecare element, într-o echipă sau într-o familie care folosește aceleași servicii.

Furnizorii oferă de obicei unelte automate care semnalează configurări riscante, precum spații publice sau conturi fără protecție suplimentară. Merită activate, chiar dacă uneori produc avertismente de care poți trece liniștit.