這是一個令人頭疼的問題：誰應該保護您在云中的數據 - 您還是您的云服務提供商 (CSP)？我們知道很容易說所有責任都應該落在您的提供者身上。為什么不？你為他們的服務付費，他們的團隊中有一些人，他們唯一的工作就是確保服務安全。這應該是不費吹灰之力的吧？

不幸的是，事情并非如此簡單。從某種意義上說，云安全與您的網絡的網絡安全非常相似，因為它是一個團隊的努力。雖然您的 CSP 負責保護云，但他們希望您在其中負責您的活動。保護您的數據既是您的任務，也是他們的任務。

這是很多人沒有意識到的，這就是問題所在。因為如果您不知道您負責云安全的哪個方面，您如何執行正確的策略來保護您的數據？它對你不利。事實上，Gartner 預測，從現在到 2025 年，幾乎所有或99% 的云安全故障都將是客戶（您）的錯。為了幫助您劃清云安全責任所在，我們將深入探討以下內容：

• 誰負責您的云安全？
• 您和您的 CSP 之間的責任劃分

誰負責您的云安全？

我們知道答案并不像您希望的那樣明確，很抱歉讓您失望了。這是因為這個問題真的沒有單一的答案。事實上，云安全是您和您的 CSP 之間的共同責任。您和您的 CSP 承擔的責任級別將根據誰提供服務以及他們提供的服務而變化。

根據運營總監 Peter Swarowski 的說法，一個很好的起點是詢問您的 CSP 是否提供了一個矩陣來顯示誰負責什么。例如，微軟發布了他們自己的矩陣，其中概述了他們關注的內容以及他們希望客戶處理的內容。它甚至包括特定于 Microsoft 云產品的信息。

如您所見，根據您是部署軟件即服務 (SaaS)、平臺即服務 (PaaS) 還是基礎架構即服務 (IaaS)，您和您的 CSP 的職責會有所不同。此外，請記住，上面的矩陣僅適用于 Microsoft 云服務。其他云提供商，如 Amazon Web Services (AWS) 也有自己的。甚至有些 CSP 不提供共享責任矩陣。在這些情況下，施華洛世奇說，“你需要看看那里有什么，并提出問題來了解你的責任是什么。”

這是您需要盡快確定并完全理解的事情。坦率地說，這是一項乏味的任務。但是，它將為您提供有價值的信息，這些信息可能會影響您的安全策略并在出現問題時指導您的行動。

您和您的 CSP 之間的責任劃分

正如我們上面提到的，您對云安全的責任將根據您的提供商和您使用的云服務而有所不同。但是，您可以查看一些可能有助于更輕松地確定責任分工的事項。

您的責任：云中的安全性

在大多數情況下，云提供商希望您擁有以下所有權：

• 身份 - 您將對團隊中使用云服務的人員負責。
• 數據 保護 - 此外，通過適當的存儲和文件共享策略保護您的數據也是您的責任的一部分。
• 訪問管理 - 您還需要管理誰可以訪問什么。這包括向組織內和組織外的用戶授予權限。
• 端點 - 這是指您在連接到服務時將使用的設備和端點安全性。您有責任確保它們始終處于修補和最新狀態。

雖然您肩上的責任級別可能會有一些細微的變化，但上述項目是您最終需要確保的關鍵事項。根據經驗，如果它是您可以控制的，例如授予數據訪問權限和在您的設備上使用端點保護，那么這是您的責任。

CSP 責任：云安全

除非您擁有本地云服務器，否則您的 CSP 將負責確保服務的軟件和硬件安全且正常工作。這包括操作系統、數據中心和網絡的物理安全以及主機基礎設施。換句話說，如果您無法觸摸的東西屬于您的提供者，那么責任就完全落在他們身上。

共同責任：取決于不同的因素

到目前為止，這非常簡單。然而，這就是它變得有點泥濘的地方。根據 Swarowski 的說法，一些云提供商提供高級工具和設置，允許您自定義其服務的某些功能。

AWS 調用這些共享控件。它指的是適用于基礎設施和客戶層但在不同的上下文或視角中的控制。在共享控制中，您的 CSP 將提供對基礎架構的要求，并且您必須在使用云服務時提供自己的控制實現。

例如，您的 CSP 將維護其基礎設施設備的配置。但是，您必須通過自己的配置來分擔責任，例如您的客戶操作系統、數據庫和應用程序。雖然這種級別的控制非常適合幫助您根據需要定制事情，但它也使責任分工變得有些棘手。

“旋轉這些東西很容易，”施華洛世奇說。“但如果你只是[離開]默認設置，它可能會完全暴露在互聯網上，任何人都可能偶然發現你的東西并獲得訪問權限，”他補充道。而且，如果發生這種情況，責任將落在您身上，而不是您的 CSP。

了解如何正確配置云設置對于從中獲得所需輸出和正確保護服務至關重要。那是你的責任。

準備好承擔保護云的責任了嗎？

保護云是您和您的 CSP 共同的責任。雖然他們的任務是確保云服務的安全性，但您也需要負責保護您的數據。根據經驗，您可以控制的任何事情，例如授予訪問權限和其他設置配置，都是您的責任。您的 CSP 對它之外的一切負責，例如數據中心位置和安全性。