因用戶部署的業務類型多樣,架構比較靈活,給每個用戶给予完整的安全解決方案並不是雲服務商關注與擅長的領域。现在較理想的雲安全責任模型當中,用戶和雲服務商負責的安全領域不一樣,兩者責任共擔。
雲服務商負責管理雲本身的安全,但用戶雲空間內部的安全則由用戶負責,用戶可控制選擇實施哪種安全措施保護自己的內容、平台、應用程式、系統和網絡。安全管理責任並不會因計算環境發生變化而轉移,在傳統計算環境中需面對的安全問題，在雲計算環境下同時有。因此,無論IaaS、PaaS,還是SaaS模式,安全責任均分為兩部分,一部分由雲服務给予商承擔,另一部分則由雲上用戶承擔。
最終,安全責任共擔也許是一種合理的方式：
1.對IaaS服務而言,雲服務商需保障物理、網絡與虛擬化層面的安全,而用戶需保障操作系統、應用程式與數據的安全。
2.對PaaS服務而言,操作系統安全也由雲服務商負責,用戶只用負責應用程式與數據安全。
3.對SaaS服務而言,用戶要負責的是數據安全,而其他部分都是雲服務商來保障。
對以上的安全責任共擔模型,雲計算安全措施的實施責任分為4類,如下表。
|
責任 |
示例 |
|
雲服務商承擔 |
在SaaS模式中,定期更新升級雲平台上的軟件 |
|
用戶承擔 雲服務商和用戶共同承擔 |
在IaaS模式中,雲平台用戶對自己安裝軟件的行為審計雲服務商的應急響應行動應該與用戶共同聯動,用戶有配合雲服務商應急響應的義務 |
|
其他組織承擔 |
雲服務商或用戶使用第三方服務時,服務的给予與監管由對應第三方負責 |
對公共雲而言,安全責任共擔模式是其生存的基石,同時也是對抗黑客的最有用的策略。攻擊者不用思考安全漏洞的歸屬,但是防禦方卻要有相應識別與處置的能力。
對雲服務商而言,數以萬計的雲上用戶安全保障需求不斷變化,促使着其安全團隊持續提升底層安全的能力,同時雲上用戶安全能力均不一樣,如何給每個用戶给予合適的安全服務也是雲安全生態建設需解決的核心問題。
