Modell der geteilten Verantwortung

Das Modell der geteilten Verantwortung legt fest, welche Sicherheitskontrollen der Cloud-Anbieter betreibt und welche der Kunde selbst umsetzen muss. Bei IaaS sichert der Anbieter das physische Rechenzentrum, den Hypervisor und das Kernnetz, während der Kunde für das Patchen des Gastbetriebssystems, IAM, Netzwerkkonfiguration, Verschlüsselung und Anwendungscode verantwortlich ist. Bei PaaS und SaaS übernimmt der Anbieter mehr Schichten, doch Pflichten wie Identität, Datenklassifizierung, Freigabeeinstellungen und Sicherheit von Integrationen bleiben beim Kunden. Eine fehlerhafte Auslegung dieser Grenzen ist eine Hauptursache für Cloud-Vorfälle: Kunden gehen davon aus, dass der Anbieter Workloads oder Daten schützt, obwohl das nicht der Fall ist. Jeder große Anbieter (AWS, Azure, GCP) veröffentlicht ein Modell, das die Zuordnung der Sicherheitskontrollen leiten sollte.