מודל האבטחה בענן – אחריות משותפת

מודל האחריות המשותפת מגדיר את גבולות האחריות לאבטחה בענן במערכת היחסים של ספק/לקוח.  חלוקת האחריות משתנה עבור סוגי השירותים השונים, IaaS, PaaS ו- SaaS.

IaaS – תשתית כשירות (Infrastructure as a Service), לדוגמא: שרתים, רשת, ואחסון בענן

PaaS – פלטפורמה כשירות (Platform as a Service), לדוגמא: שירות SQL ללא שרת

SaaS – תוכנה כשירות (Software as a Service), לדוגמא: שירות Salesforce

כדאי להכיר את ההבדלים בין הפתרונות, ההשלכות על האבטחה, ועל מה אתה, הלקוח, אחראי.

עם כל כך הרבה ספקים, פלטפורמות, כלים ושירותים הנמצאים בקטגוריות IaaS, PaaS ו- SaaS, ארגונים צריכים להבין את חלוקת האחריות של האבטחה בענן שעשויה להיות מטעה ולא תמיד ברורה. ארגונים נוטים לחשוב שבעצם המעבר לענן הם הופכים להיות מאובטחים, מבלי להבין שבמרבית המקרים, האחריות על האבטחה ויישום פתרונות הולמים היא שלהם ולא של ספק הענן. ארגונים צריכים לשאול את עצמם של מי המידע שהם יאחסנו בענן ללא רלוונטיות למודל השירות, שאלה שהתשובה אליה לרוב ברורה, אך למעשה בגוף התשובה שתגיע טמונה גם התשובה על מי האחריות לאבטח את אותו מידע.

עם מרכזי נתונים מקומיים מסורתיים "On-Prem", צוות ה- IT של החברה אחראי לחלוטין על כל הנתונים כמו גם על התשתית הפיזית. עובדה זו הופכת את כל תהליך האבטחה ל"פשוט" יחסית. כמובן ש"פשוט" זה לא ויש להחזיק בידע נרחב ומתעדכן על מנת לספק פתרון הולם.

כאשר הם עוברים לענן, צוותי IT צריכים להתמודד עם תשתית ושירותים של ספקים בענן, עובדה שנוטה לסבך את אסטרטגיית האבטחה הכוללת של הארגון, מה גם שלרוב תשתיות הענן מקושרות באופן ישיר לרשת האינטרנט, עובדה שמאתגרת עוד יותר את דרישות האבטחה ולעיתים "קל" יותר לארגון להבין ולהתמודד איתה באופן "פשוט" יותר בפתרונות On-Prem.

בפתרון בענן, הספק לוקח על עצמו חלק מהאחריות הקשורה לאבטחת הסביבה, אך לא בהכרח הנתונים המוחזקים בתוכה. זה יכול להיות מועיל ביותר עבור צוותי IT רבים, אך אם מנהלי מערכת ומפתחים לא מאבטחים את מערכות ההפעלה והאפליקציות, הארגון עשוי להיות חשוף לאיומי אבטחה רבים, לא משנה עד כמה תשתית הענן מאובטחת ואולי אף עומדת בתקני אבטחה שמכסים את התשתית בלבד, אך לא את הסביבה האפליקטיבית ו/או המידע של הארגון.

המפתח לאסטרטגיית אבטחה מצליחה בענן הוא הבנת מודל האחריות המשותפת לשני הצדדים.

מודלי אבטחה IaaS, PaaS ו- SaaS

לפני שצוללים לפרטים של מודל אחריות משותפת בענן, צוותי IT חייבים להבין את הבדלי האבטחה בסוגים השונים של מודלי השירות. שירותים אלה מכתיבים על מה אחראי או אינו אחראי הספק.

עם מודל IaaS, הספק אחראי על אבטחת מרכזי הנתונים הפיזיים והחומרה שמפעילה את התשתית, כולל שרתים "מארחים", אחסון ורשת "ליבה". על הלקוח לאבטח את הנתונים, מערכות הפעלה, הרשת הווירטואלית, רובד התוכנה והיישומים אותם הוא מריץ בענן. במודל זה, הלקוח אחראי על היבטים רבים בפתרון, אך יש לו את האפשרות להיעזר בספק הענן, תלוי בספק ובאפשרויות אותן הוא מעמיד לרשות הלקוח כמובן, כדי לנהל גם את האבטחה הלוגית של השרתים הווירטואליים של הלקוח.

PaaS הוא שלב "ביניים" כשמדובר במודל האחריות המשותפת לאבטחה בענן, ומפקיד אחריות רבה יותר בידי ספק הענן. בתרחיש זה, צוות ה-IT של הלקוח עדיין מנהל את היישומים ואת הנתונים, אך הספק מאבטח את פעולת התשתית הבסיסית ומוסיף לאחריותו גם את מערכות ההפעלה והפלטפורמה בה הלקוח עושה שימוש, לדוגמא בסיסי נתונים.

במודל SaaS, ללקוח אין כלל שליטה על רובד התוכנה והוא למעשה מעביר את כלל האחריות לספק. ספק SaaS אחראי על כלל רבדי האבטחה בפתרון אותו הוא מספק, מרמת התשתית ועד לרמת התוכנה. צוותי IT צריכים לדאוג רק לניהול הרשאות, בהתאם לכלים שמעמיד לרשותם הספק. יש לזכור שבמרבית המקרים, ספקי SaaS נשענים על תשתיות של ספקי IaaS אחרים, ולמעשה נוצרת שכבה נוספת של אחריות על האבטחה של הפתרון שמתחלקת בין מספר ספקים. יש לזכור שספק "תוכנה כשירות", קרי SaaS, בסופו של יום מספק שירות תוכנה ועליה הוא אחראי באופן בלעדי מקצה לקצה, במקרה בו הוא מארח את התוכנה על שירות תשתית IaaS של ספק אחר, ספק ה-IaaS מחזיק בתפקיד ברור באחריות על אבטחת התשתית ויתכן כי מחזיק בתקנים מתאימים, אך אינו שותף לאבטחת התוכנה, קרי המוצר אותו הלקוח צורך מספק ה-SaaS. עמידה בתקנים של ספק התשתית בשירות ה-IaaS אינה זוקפת את זכות התקינה גם לספק ה-SaaS שאחראי באופן בלעדי לתוכנה, במקרה זה עליו להציג תקינה הולמת בלעדית למוצר אותו הוא מספק, ללא קשר לתשתית עליה מתארח המוצר, שכן ספק התשתית אינו לוקח חלק באבטחת המוצר/תוכנה והתקינה אינה רלוונטית לרובד זה.

אכיפת המודל

מתקפות סייבר ואיומי אבטחה בענן נמצאים במגמת עלייה, חלקנו נחשפים להם בעיתונות וחלקנו אף מעורבים בסיטואציות באופן שוטף. מרבית הפרות האבטחה הבולטות, אשר נוטות להיות יקרות מאוד עבור הארגון המושפע, נגרמות כתוצאה מטעות בצד הלקוח ו/או ברובד התוכנה ולא מספק הענן.

עבודה עם ספק ענן עשויה להיות פחות ברורה עבור ארגונים מסוימים כאשר אין תיאום ציפיות והבנה של חלוקת האחריות. מהיום הראשון להתקשרות יש לקבוע חלוקת אחריות ברורה בין ספק הענן לבין הלקוח  ולהתוות לצוותים מתווה ברור שמראה היכן מסתיימת האבטחה של ספק הענן, היכן מתחילה האחריות של הלקוח ולעיתים היכן האחריות עולה לדיון משותף.

כשמדובר במודל אחריות משותפת בענן, אין מקום להניח ושום דבר לא צריך להישאר "באוויר". כדי להבטיח שיש הבנה הדדית בין ספק הענן לבין הלקוח, יש לתאם ציפיות באופן מדויק באמצעות מסמך SLA שברור לשני הצדדים.

במידה ולספק הענן ישנה גם זרוע אינטגרציה, הנושא עשוי להקל מאוד על הלקוח שכן זרוע האינטגרציה של ספק הענן מכירה היטב את כל הכלים והאפשרויות ותהיה מסוגלת לספק ללקוח את השקט והביטחון הראוי, כמו גם לייעץ ולשתף מהידע המקצועי ולעיתים אף להסיר ממנו שכבות אחריות שונות באותו מודל אחריות משותפת במסע לענן.