Die verschiedenen Anbieter von Cloudplattformen – GCP, AWS und Azure haben das Shared Responsibility Model eingeführt, um die Verantwortung klar zu definieren. Deshalb erfordert die Sicherung von Cloud-Infrastrukturen ein Umdenken. Es bewegt sich also weg von den traditionellen Elementen wie Firewalls, VPNs und Servern und hinzu Workloads, Buckets und Blobs sowie die Zusammenarbeit mit externen Cloud-Service-Providern (CSPs). Große CSPs wie AWS, Azure und GCP haben das“ Shared Responsibility Model“ eingeführt, um die Sicherheitsverantwortung für verschiedene Komponenten der Architektur zu definieren und teilweise an den Kunden abzugeben.

Was ist das Shared Responsibility Model?

Da Unternehmen zunehmend Cloud-Infrastrukturen nutzen und sich in Multi-Cloud-Umgebungen vorwagen, ist die Implementierung des Shared Responsibility Model von entscheidender Bedeutung für das Verständnis der Verantwortlichkeiten sowohl des Anbieters als auch des Kunden bei der Sicherung der Cloud-Infrastruktur. Diese Modelle bringen jedoch Herausforderungen mit sich, die Unternehmen angehen müssen, um eine umfassende Cloud-Sicherheit zu gewährleisten. In diesem Blog-Beitrag werden wir das Konzept der geteilten Verantwortung in Multi-Cloud-Umgebungen näher beleuchten und praktikable Lösungen zur Verbesserung der Cloud-Sicherheitslage vorstellen.

Es ist wichtig zu wissen, dass das Shared Responsibility Model von Anbieter zu Anbieter unterschiedlich sein kann. Die Bereiche, die von einem CSP als Verantwortung des Anbieters bezeichnet werden, können von einem anderen als Verantwortung des Kunden betrachtet werden, oder in einigen Fällen kann die Verantwortung geteilt werden.

Zum Verständnis des Shared Responsibility Model

Das Shared Responsibility Model definiert die Aufteilung der Sicherheitsverantwortung zwischen dem Cloud-Service-Anbieter und dem Kunden. Führende Anbieter haben unterschiedliche Modelle, die ihre jeweiligen Verantwortungsbereiche umreißen. AWS beispielsweise konzentriert sich auf die Sicherung des Host-Betriebssystems, der Virtualisierungsschicht und der physischen Sicherheit der Server, während die Kunden für Netzwerkkontrollen, Konfigurationen, Identitäts- und Zugriffsmanagement (IAM) und Kundendaten verantwortlich sind. Bei GCP wird die Sicherheit der Infrastruktur in ähnlicher Weise dem Anbieter zugewiesen, während die Kunden die Verantwortung für die Sicherung von Konfigurationen, Zugriffsrichtlinien und in der Cloud gespeicherten Inhalten übernehmen.

Warum ist das Shared Responsibility Model wichtig?

Das Shared Responsibility Model ist für die Sicherheit der Cloud-Infrastruktur aus mehreren Gründen von entscheidender Bedeutung. Sie gewährleisten, dass sowohl der Cloud-Anbieter als auch der Kunde aktiv zur Aufrechterhaltung einer sicheren Cloud-Umgebung beitragen. Sie fördern Klarheit, Risikominderung, Einhaltung von Vorschriften, Zusammenarbeit und Flexibilität und verbessern so letztlich die Gesamtsicherheit und Widerstandsfähigkeit des Multi-Cloud-Einsatzes.

Klarheit der Zuständigkeiten

In einer Cloud- oder Multicloud-Umgebung (an der mehrere CSPs beteiligt sind) hilft das Shared Responsibility Model bei der Definition und Festlegung klarer Zuständigkeitsgrenzen zwischen dem Cloud-Anbieter und dem Cloud-Kunden (Organisation oder Nutzer). Es zeigt auf, in welchen Bereichen der Cloud-Anbieter für die Sicherheit verantwortlich ist und wo der Kunde die Verantwortung übernehmen muss.

Minderung von Sicherheitsrisiken

Das Shared Responsibility Model gewährleistet, dass die Sicherheitsverantwortung zwischen dem Cloud-Anbieter und dem Kunden aufgeteilt wird, was das allgemeine Sicherheitsrisiko verringert. Der Cloud-Anbieter kümmert sich in der Regel um die Sicherheit der zugrundeliegenden Infrastruktur, z. B. die Sicherheit des physischen Standorts, des Netzwerks und des Hosts. Der Kunde hingegen ist für die Sicherheit seiner Anwendungen, Daten, Betriebssysteme und Netzwerkkonfigurationen verantwortlich.

Konformitäts- und Regulierungsanforderungen

In vielen Branchen und Organisationen gibt es spezifische Anforderungen an die Einhaltung von Vorschriften und Bestimmungen in Bezug auf Datensicherheit und Datenschutz. Das Shared Responsibility Model ermöglicht es Unternehmen, die vom Cloud-Anbieter implementierten Sicherheitskontrollen zu verstehen und zu beurteilen, ob diese Kontrollen mit ihren Compliance-Anforderungen übereinstimmen. Es ermöglicht dem Kunden, seine Compliance-Verpflichtungen zu erfüllen, indem er die erforderlichen Sicherheitsmaßnahmen in seinem eigenen Verantwortungsbereich implementiert.

Zusammenarbeit und Partnerschaft

Das Shared Responsibility Model fördert die Zusammenarbeit und Partnerschaft zwischen dem Cloud-Anbieter und dem Kunden. Es ermutigt Unternehmen, sich aktiv an der Sicherheit ihrer Cloud-Implementierungen zu beteiligen, indem sie Best Practices implementieren, Sicherheitsempfehlungen befolgen und die vom Cloud-Anbieter bereitgestellten Sicherheitstools und -dienste nutzen. Diese Zusammenarbeit trägt zur Schaffung einer sichereren Umgebung bei und fördert ein gemeinsames Verständnis der Sicherheitsziele.

Flexibilität und Skalierbarkeit

Multicloud-Umgebungen bieten Unternehmen Flexibilität und Skalierbarkeit, um je nach ihren spezifischen Anforderungen verschiedene Cloud-Anbieter zu nutzen. Das Shared Responsibility Model trägt dieser Flexibilität Rechnung, indem es unabhängig vom gewählten Cloud-Anbieter einen einheitlichen Rahmen für die Sicherheit bietet. So können Unternehmen eine konsistente Sicherheitslage über mehrere Clouds hinweg aufrechterhalten und sich problemlos an Änderungen oder Ergänzungen ihrer Cloud-Infrastruktur anpassen.

Die 3 Arten des Shared Responsibility Model

Es gibt drei Arten des Shared Responsibility Model: SaaS (Software as a Service), PaaS (Platform as a Service) und IaaS (Infrastructure as a Service).

SaaS (Software-as-a-Service)

Beim SaaS-Modell stellt der Cloud-Anbieter Softwareanwendungen über das Internet bereit, auf die in der Regel über einen Webbrowser zugegriffen wird. Bei SaaS übernimmt der Cloud-Anbieter die größte Verantwortung für die Sicherheit, da er den gesamten Software-Stack verwaltet, einschließlich Infrastruktur, Anwendungen und Daten. Die Hauptverantwortung des Kunden liegt in der Verwaltung und Sicherung seiner eigenen Daten und des Benutzerzugriffs auf die SaaS-Anwendung. Dazu gehören Aufgaben wie das Festlegen von sicheren Passwörtern, die Implementierung von Multi-Faktor-Authentifizierung und die Definition von Zugriffskontrollen für die Benutzer.

IaaS (Infrastruktur-as-a-Service)

IaaS bietet virtualisierte Datenverarbeitungsressourcen über das Internet an, einschließlich virtueller Maschinen, Speicher- und Netzwerkfunktionen. Beim IaaS-Modell ist der Cloud-Anbieter für die Sicherheit der zugrunde liegenden Infrastruktur verantwortlich, z. B. für die physische Sicherheit, die Netzwerkinfrastruktur und die Sicherheit des Hypervisors. Der Kunde übernimmt ein höheres Maß an Verantwortung, da er die Kontrolle über die Betriebssysteme, Anwendungen und Daten hat, die auf den virtuellen Maschinen laufen.

Es ist wichtig zu beachten, dass der Cloud-Anbieter zwar in jedem Modell bestimmte Verantwortlichkeiten übernimmt, aber in der Regel Sicherheitsfunktionen, Tools und Anleitungen bereitstellt, um den Kunden bei der Erfüllung seiner Verantwortlichkeiten zu unterstützen. Darüber hinaus kann die spezifische Aufteilung der Verantwortlichkeiten von Cloud-Anbieter zu Cloud-Anbieter variieren. Daher ist es für Unternehmen von entscheidender Bedeutung, das Modell der gemeinsamen Verantwortung, das von dem von ihnen gewählten CSP definiert wurde, zu überprüfen und zu verstehen.

Wie das Shared Responsibility Model anzuwenden ist

Die Anwendung des Shared Responsibility Model erfordert einen systematischen Ansatz, um sicherzustellen, dass die Sicherheitsverantwortlichkeiten richtig verteilt und umgesetzt werden.

Es gibt einige wichtige Schritte, um das Shared Responsibility Model effektiv anzuwenden:

Verstehen des Modells: Beginnen Sie damit, das Shared Responsibility Model, das von Ihrem CSP bereitgestellt wird, gründlich zu verstehen. Prüfen Sie die Dokumentation, die Sicherheitsrichtlinien und alle spezifischen Richtlinien in Bezug auf die Sicherheitsverantwortung. Verschaffen Sie sich ein klares Bild davon, welche Sicherheitsaspekte vom CSP abgedeckt werden und für welche Bereiche Sie als Kunde verantwortlich sind.

Bewerten Sie die Sicherheitsanforderungen: Ermitteln Sie die spezifischen Sicherheitsanforderungen und Compliance-Verpflichtungen Ihres Unternehmens. Ermitteln Sie die Sensibilität Ihrer Daten, das erforderliche Maß an Zugriffskontrolle und alle Branchen- oder gesetzlichen Standards, die erfüllt werden müssen. Anhand dieser Bewertung können Sie feststellen, welche Sicherheitskontrollen in Ihrem Verantwortungsbereich implementiert werden müssen.

Implementierung von Sicherheitskontrollen: Auf der Grundlage des Shared Responsibility Model und Ihrer Sicherheitsanforderungen implementieren Sie die erforderlichen Sicherheitskontrollen innerhalb Ihrer eigenen Infrastruktur, Anwendungen und Daten. Dazu gehören Aktivitäten wie die Konfiguration von Firewalls, die Implementierung von Verschlüsselung, die Anwendung von Zugriffskontrollen, das regelmäßige Patchen von Systemen und die Durchführung von Schwachstellenanalysen. Befolgen Sie bewährte Verfahren und Branchenstandards, um eine solide Sicherheitslage zu gewährleisten.

Zentralisieren Sie das Identitätsmanagement: Ziehen Sie den Einsatz einer zentralen IAM-Sicherheitslösung in Betracht, um Benutzeridentitäten und -zugriff über mehrere Cloud-Anbieter hinweg zu verwalten. Dies ermöglicht eine konsistente Durchsetzung von Sicherheitsrichtlinien, vereinfacht die Bereitstellung und Aufhebung der Bereitstellung von Benutzern und verbessert die Transparenz und Kontrolle über den Benutzerzugriff.

Zusammenarbeit mit dem CSP: Arbeiten Sie mit Ihrem CSP zusammen, um die von ihm angebotenen Sicherheitstools, Services und Fachkenntnisse zu nutzen. Kommunizieren Sie regelmäßig mit Ihrem CSP, um sich über dessen Sicherheitsmaßnahmen, Patches und Empfehlungen auf dem Laufenden zu halten. Nutzen Sie alle vom CSP bereitgestellten Sicherheitsfunktionen oder -dienste, um die Sicherheit Ihrer Cloud-Implementierungen zu verbessern. Diese Zusammenarbeit gewährleistet ein gemeinsames Verständnis der Sicherheitsziele und fördert eine stärkere Sicherheitslage.

Kontinuierliche Überwachung und Verbesserung: Sicherheit ist ein fortlaufender Prozess, daher ist es wichtig, dass Sie Ihre Sicherheitskontrollen kontinuierlich überwachen, bewerten und verbessern. Überwachen und analysieren Sie regelmäßig Protokolle, implementieren Sie Systeme zur Erkennung von Eindringlingen und führen Sie Sicherheitsprüfungen durch. Informieren Sie sich über neue Bedrohungen, Schwachstellen und Updates von Ihrem CSP. Bewerten und verfeinern Sie Ihre Sicherheitsmaßnahmen kontinuierlich, um neuen Risiken zu begegnen und einen proaktiven Sicherheitsansatz zu verfolgen.

Wenn Sie diese Schritte befolgen, können Unternehmen das Shared Responsibility Model effektiv anwenden, einen umfassenden Sicherheitsrahmen einrichten und einen kooperativen Ansatz zur Sicherung ihrer Cloud-Bereitstellungen gewährleisten. Regelmäßige Überprüfungen und Aktualisierungen der Sicherheitsstrategie auf der Grundlage sich entwickelnder Bedrohungen und Compliance-Anforderungen sind ebenfalls von entscheidender Bedeutung für die Aufrechterhaltung einer starken Sicherheitslage im Laufe der Zeit.

Best Practices für das Responsibility Model

Um die Cloud-Sicherheit in einer Multi-Cloud-Umgebung zu verbessern, müssen Unternehmen proaktive Maßnahmen ergreifen, wie z. B. Klarheit über das Shared Responsibility Model im gesamten Unternehmen schaffen und die Aufteilung der Sicherheitsverantwortlichkeiten und DevSecOps betonen. Es ist wichtig, das Verständnis für die verschiedenen Cloud-Service-Modelle und ihre Auswirkungen auf die Sicherheitsverantwortung zu fördern.

Darüber hinaus müssen Sie Ihren Worten auch Taten folgen lassen! Investieren Sie in Cloud-Fachwissen, indem Sie Ressourcen für den Auf- und Ausbau von Cloud-Fachwissen innerhalb des Unternehmens bereitstellen. Fördern Sie kontinuierliche Lern- und Schulungsprogramme, um die Teams in die Lage zu versetzen, die Cloud-Infrastruktur effektiv zu verwalten und zu sichern.

Und schließlich müssen Unternehmen ihre eigenen Tools immer ergänzen. Native Sicherheitstools bilden zwar eine Grundlage, sollten aber durch spezialisierte Cloud-Sicherheitslösungen ergänzt werden, die tiefergehende und ganzheitlichere Probleme angehen. Herausforderungen bei der Umsetzung des Shared Responsibility Model.

Die Sicherung der Cloud-Infrastruktur in einer Multi-Cloud-Umgebung erfordert ein umfassendes Verständnis des Modells. Die Cloud-Anbieter haben die Aufteilung der Sicherheitsverantwortung zwischen ihnen und ihren Kunden klar definiert. Unternehmen stehen jedoch vor mehreren Herausforderungen, wenn es darum geht, ihren Teil der Sicherheitsverantwortung effektiv umzusetzen und zu verwalten.

Eine der größten Herausforderungen ist die mangelnde Klarheit über Shared Responsibility Model. Viele Cloud-Kunden sind sich des Modells nicht bewusst oder verstehen ihre eigenen Sicherheitsverpflichtungen nicht richtig. Dieses mangelnde Verständnis kann zu Sicherheitslücken führen und das Risiko von Datenschutzverletzungen erhöhen. Die Unternehmen müssen sich unbedingt über das Modell informieren und sicherstellen, dass sie ihre Verantwortlichkeiten genau kennen.

Eine weitere Herausforderung ist der Mangel an Cloud-Know-how in den Unternehmen. Die Cloud-Migration und die digitale Transformation haben sich in den letzten Jahren beschleunigt, aber viele Unternehmen sind noch dabei, ihr internes Wissen und ihre Fähigkeiten in Bezug auf Cloud-Sicherheit zu entwickeln. Dieser Mangel an Fachwissen kann es Unternehmen erschweren, die Sicherheitsherausforderungen effektiv anzugehen und angemessene Cloud-Sicherheitspraktiken zu implementieren. Investitionen in Schulungen und die Einstellung qualifizierter Fachkräfte können helfen, diese Lücke zu schließen und die Sicherheitslage des Unternehmens zu verbessern.

Zwar bieten Cloud-Anbieter einige Sicherheitstools an, doch decken diese möglicherweise nicht die Sicherheitsverantwortung des Kunden vollständig ab oder erfüllen nicht alle spezifischen Anforderungen einer Multi-Cloud-Umgebung. Unternehmen sollten in Erwägung ziehen, Lösungen von Drittanbietern und Anbietern zu nutzen, die einheitliche Multi-Cloud-Sicherheitslösungen anbieten, damit sie einen umfassenden und konsistenten Überblick über alle ihre Cloud-Umgebungen gewinnen können.

Die dezentralisierte Natur der Sicherheitsverantwortung in Unternehmen erhöht die Komplexität. Verschiedene Bereiche, Abteilungen und Rollen sind an der Sicherheit der Cloud-Infrastruktur beteiligt, was zu einer fragmentierten Entscheidungsfindung und isolierten Sicherheitspraktiken führt. Unternehmen müssen klare Kommunikations- und Kooperationswege einrichten, um sicherzustellen, dass die Sicherheitsverantwortung im gesamten Unternehmen effektiv koordiniert und umgesetzt wird.

Das Verständnis und die effektive Verwaltung geteilter Verantwortung in einer Multi-Cloud-Umgebung ist für die Gewährleistung einer robusten Cloud-Sicherheit unerlässlich. Durch die Bewältigung der Herausforderungen in Bezug auf Klarheit, Cloud-Know-how, Tools und Eigentumsverhältnisse können Unternehmen Sicherheitsrisiken reduzieren, die Wahrscheinlichkeit von Datenschutzverletzungen verringern und die Einhaltung von Vorschriften gewährleisten. Durch die Einführung eines identitätsorientierten Ansatzes, die Implementierung von Prozessautomatisierung und die Nutzung umfassender Sicherheitslösungen können Unternehmen die Kontrolle über ihre Cloud-Sicherheit übernehmen und ihre wertvollen Ressourcen in der sich ständig weiterentwickelnden Cloud-Landschaft schützen.

Ermetic Cloud-Sicherheit

Ermetic bietet eine umfassende, identitätsbasierte Cloud Native Application Protection Platform (CNAPP), die die nativen Tools von AWS, Azure und GCP ergänzt. Die agentenlose Lösung vereinheitlicht und automatisiert Asset Discovery, Risikoanalyse, Laufzeit-Bedrohungserkennung und Compliance – über Cloud-Infrastruktur, Workloads, Identitäten und Daten hinweg. Sie identifiziert, priorisiert und behebt Sicherheits- und Compliance-Schwachstellen mit höchster Präzision.

Um Unternehmen dabei zu helfen, die organisatorischen Anforderungen Shared Responsibility Model zu erfüllen, umfasst Ermetic die Verwaltung von Berechtigungen, die Verwaltung der Cloud-Sicherheitslage, den Schutz von Cloud-Laufzeit-Workloads, das Scannen von Infrastruktur als Code und die Verwaltung der Kubernetes-Lage, um Cloud-Sicherheitspraktiken mit einer vollständig integrierten Sicht auf das, was wichtig ist, und einer automatisierten Schritt-für-Schritt-Abhilfe zu vereinfachen.