当云服务不可用时，内部部署技术的世界是实用的. 最初, 端到端技术服务的管理, 无论是基础设施还是软件, 澳门赌场官方下载的责任是在自己的实体机构内运行，还是从第三方供应商那里租用. 有些服务是外包的或通过托管合同提供的，包括收集备份磁带和异地存储等功能. 否则，大多数服务和风险领域都是内部管理的.
直到最近，即服务模型才变得更加流行. 外部服务的出现已经大大加速, 这种快速增长造成了一种错误的假设，即问责制, 责任和风险仍然不是一个共同的责任模型. 这就是问题的关键所在:当选择服务并将其移交给云服务提供商(csp)时，组织在没有正确理解其协议和责任的情况下陷入困境。.
云流程的显著优势
所有组织, 是否小, 中号或大号, 正在通过适应云计算流程来快速改变自己吗. “云”这个词很宽泛, 但它可以定义为按需交付或作为服务交付的it服务组合. 最初预计在未来5年内向云计算过程的转变已经加速到仅仅3年. 过渡到云流程在几个方面对组织有利，包括更容易的可伸缩性, 提高弹性和连续性，节约成本. 许多组织使用基于云的解决方案和采用云优先战略，迅速发展其数字基础设施. 这导致了通过混合多云架构从任何地方实现平滑和安全连接的兴起，并提高了灵活性，以满足快速发展的业务需求. 因此，云操作的成熟度和实用性达到了一个意想不到的水平.
可伸缩性
云解决方案在处理数字服务需求和规模的动态变化方面具有优势，这些变化可能导致数据使用模式的巨大变化. 内容分发网络(CDN)就是一个例子。, 这是一组地理上分散的服务器，通过拉近用户所在的位置来加快网络内容的传输速度.1 cdn是任何云基础设施的关键组件，可以显著提高可靠性, 响应时间和更高的转化率. 在COVID-19大流行期间，当许多澳门赌场官方下载突然不得不远程运行时，它们也非常有益.
弹性和连续性
应对任何潜在的灾难性事件(如自然灾害)都需要恢复能力.g., 洪水, 飓风, 地震)和恐怖袭击, 大流行提供了充分的证据，表明组织的流程必须具有弹性，以便迅速应对市场中断并从中恢复过来.
云服务提供跨多层网络基础设施的控制，以确保安全性和连续性. 这些安全解决方案包含保护敏感事务和信息的协议. 除了, 云服务提供商雇佣专门的安全团队，他们的全职工作是确保暴露不良行为者. 这些安全人员具有保护多个客户端资产的经验, 是什么让云计算更值得信赖.
成本效益
云服务的好处包括减少碳足迹, 将资源管理风险转移给服务提供商, 减少资本开支和简化计算程序;
云计算的前期成本也低于内部解决方案. 对于需要顶级产品但没有大量资金的公司, 云解决方案提供了惊人的灵活性.2
云部署模型
csp根据客户的需求提供各种类型的云环境, 哪些可以大致归类为所有权, 访问级别和规模. 这些云部署模型包括公共云、私有云、混合云和澳门赌场官方下载云.
公共云
公共云部署模型是一种计算服务，由第三方通过互联网按使用付费的方式提供给其客户. 这允许客户利用云提供的可伸缩性和灵活性，而无需承担与购买相关的成本, 管理和维护底层基础设施.
由于其多租户架构，公共云确实有局限性. 例如, 它不提供对底层基础设施(如管理程序)的控制, 网络设备或其他服务. 对于一些在敏感行业(如国防)工作的组织来说，这可能是一个高风险因素, 银行或科技. 公共云的其他主要限制包括:
- 公共csp提供了一种“一刀切”的方法，这可能不适用于某些组织.
- 在公共云模式下提供的服务可能不符合某些政府法规. 这对金融业来说尤其重要.
- 云基础设施中的一个安全漏洞可能会使整个环境及其所有客户容易受到攻击.
大流行提供了充分的证据，表明组织的流程必须具有弹性，以便迅速应对市场中断并从中恢复过来.
私有云
私有云是专用于一个澳门赌场官方下载或组织的云计算环境. 它提供了公共云的所有好处，并具有额外的控制和更高级别的安全性和隐私性. 私有云中的服务和基础设施始终在私有网络上进行维护. 云本身可以位于组织的数据中心，也可以由第三方服务提供商托管. 然而，在选择云部署模型时，还有其他考虑因素:
- 私有云提供专用的计算资源, 哪个比公共云成本更高, 成本如何在多个租户之间分配.
- 私有云需要对云基础设施进行持续的支持和维护.
这种类型的云适用于需要对其数据或操作进行更高控制的组织，例如政府机构, 金融机构或医疗机构.
共享责任模型是一个框架，它定义了CSP与其客户之间的安全责任.
混合云
混合云结合了私有云和公共云. 具有关键业务需求的大型组织会选择这种方法, 比如法规要求, 不能迁移到公共云的遗留应用程序, 安全需求或低延迟. 混合云模型允许组织从公共云的灵活性和私有云的安全性中受益.
澳门赌场官方下载云
在澳门赌场官方下载云计算模型, 云基础设施在来自特定澳门赌场官方下载(如银行)的不同组织之间共享, 贸易公司或医疗器械制造商. 此模型介于公共云和私有云之间，非常适合受类似法规要求约束的组织, 开展合作项目或共享贸易资源.
服务模型
csp主要基于三种标准服务模型提供服务:基础设施即服务(IaaS), 平台即服务(PaaS)和软件即服务(SaaS). 这些模型提供了不同程度的抽象和, 像这样, 被描绘成堆栈中的不同层:基础设施, 平台及应用服务.
基础设施即服务
IaaS, 也称为硬件即服务(HaaS), 通过Internet按需向客户提供服务提供商拥有的计算资源. 服务提供者管理和维护基础设施, 它提供了几个好处，包括允许组织避免与购买和管理物理基础设施以及根据需求上下扩展资源相关的成本.
平台即服务
PaaS提供商提供软件和硬件计算资源, 哪一个允许开发人员进行创建, 无需维护物理基础设施或软件即可测试和运行应用程序. 它提供了一个运行时环境，提供了以下几点好处:
- 编码时间大大减少，因为CSP提供了诸如安全特性和目录之类的应用程序组件.
- 对于没有资源购买软件的组织来说，按使用付费的模式使其成为一种经济有效的选择.
- 客户可以专注于他们的核心竞争力，而不需要维护和管理底层资源.
软件即服务
SaaS是一种服务交付模型，通过它可以通过Internet将完整的应用程序交付给客户. SaaS客户不必购买、管理或维护复杂的硬件或软件. SaaS的主要好处包括:
- 显著的成本效益，因为SaaS应用程序通常托管在多租户环境中，与硬件和软件许可证相关的成本是分散的
- 能够扩大和减少资源, 基于需求, 无需考虑硬件或软件管理或成本
责任分担模式
共享责任模型是一个框架，它定义了CSP与其客户之间的安全责任(图1). 对于计划迁移到云或已经迁移到云的组织来说，它已经发展成为一个新的有趣的概念. 客户的责任取决于他们选择使用的服务类型.3 在一般情况下, CSP负责管理安全性, 客户有责任保护他们在云中的资产.
由于云服务类型之间和相同类型的服务提供商之间的差异，增加了复杂性. 控制领域，如法规遵从性，是双方的责任.
在IaaS, 服务提供者的责任包括物理区域，如设施, 数据中心和网络组件. CSP的职责还扩展到运行应用程序和代码的主机操作系统.
客户可能负责:
- 安全配置云服务器工作负载
- 识别和修复已知的漏洞
- 实现分段规则
- 应用运行时预防、检测和纠正控制
在PaaS模型中, 服务提供商还管理客户操作系统，以便客户可以专注于应用程序开发, 确保应用程序和数据安全控制到位.
SaaS模型将最大的责任放在了服务提供者身上, 比如管理物理, 基础设施和应用程序级控制. 但是，客户仍然拥有数据和与访问相关的流程.
图2 提供了典型CSP vs所拥有的控件的摘要. 它的客户在每个模型.
采用云的主要挑战
互补用户实体控件(cuec), 也称为用户控制考虑(ucc), 是否包含在供应商的系统中, 客户必须实施哪些措施以确保供应商控制目标的实现.4 将资源迁移到云上的组织通常认为，与这些资源的管理和安全有关的所有责任都已转移到云计算服务提供商(CSP). 然而，事实并非如此. 在 揭开云的神秘面纱:共享责任安全模型 报告, 只有18%的受访者提到，他们完全了解自己在所有服务类型中使用云的责任.5 这是令人担忧的原因.
客户应了解的服务机构控制报告中的cuec示例包括:
- 逻辑访问-应该定期监控应用程序的访问权限，以确保其适当性，并验证职责是否得到了充分的隔离.
- 变更管理,客户应该确定变更是如何建立和管理的，并根据已建立的变更管理过程审查变更订单的完整性.
- 接口管理-应监视接口，以确认所有数据都被接受和处理，并收到预期的结果.
- 业务连续性计划的实施客户应该审查业务连续性计划是否到位，并确保它符合业务恢复策略.
将资源迁移到云上的组织通常认为，与这些资源的管理和安全有关的所有责任都已转移到云计算服务提供商(CSP).
结论
一旦客户根据CSP的共享责任模型理解了他们与安全相关的责任, 然后，他们必须确定在他们的用例中适用的控件. 客户责任因许多因素而异, 包括云服务和他们选择的模式, 将这些服务集成到其IT环境以及适用于其组织和工作负载的法律法规中.6
尾注
1 内容分发网络——什么是CDN?” http://www.akamai.com/our-thinking/cdn/what-is-a-cdn
2 阿尔及利亚士兵,K.; “Four Ways Cloud Computing Can Save Your Company Money” Technology Advice, 24 June 2021, http://technologyadvice.com/blog/information-technology/4-ways-cloud-computing-can-save-money/
3 Simorjay F.; E. Tierling; 共享云计算责任，微软，美国，2019年10月 http://azure.microsoft.com/mediahandler/files/resourcefiles/shared-responsibility-for-cloud-computing/Shared%20Responsibility%20for%20Cloud%20Computing-2019-10-25.pdf
4 山,我.-M.; “Importance of Complementary User Entity Controls for Vendor Relationships,“Venminder, 2021年10月12日, http://www.venminder.com/blog/importance-complementary-user-entity-controls-vendor-relationships
5 甲骨文和毕马威， 揭秘云共享责任安全模型, 2020, http://www.oracle.com/a/ocom/docs/cloud/oracle-ctr-2020-shared-responsibility.pdf
6 亚马逊，“共同责任模式”， http://aws.amazon.com/compliance/shared-responsibility-model/
jaisisodia | cisa, ccp，直到v3
是数字医疗的全球经理吗, IT, 一家全球医疗设备和医疗保健组织的网络和隐私审计. 他负责领导和执行包括云平台在内的多个领域的全球审计和咨询业务, 制造工厂和工业控制系统, 澳门赌场官方下载资源规划系统, 隐私评估, 第三方风险, 医疗设备网络安全与财务审计整合. Sisodia此前曾担任四大咨询公司的保证和咨询顾问.
默罕默德| cisa、crisc、cdpse、cipm、六西格玛认证绿带
是数字医疗的全球主管吗, IT, 一家全球医疗设备和医疗保健组织的网络和隐私审计. 他管理着一个全球团队，负责整个组织的澳门赌场官方下载风险管理并进行审计, 评估和咨询业务. 他曾在包括澳门赌场官方下载资源规划系统在内的多个领域领导跨国公司的全球审计和评估, 全球数据中心, 云平台, 第三方制造和外包审查, 流程再造和改进, 全球隐私评估和美国食品和药物管理局(FDA)针对医疗设备网络安全的指导. 此前，他曾担任领先咨询公司和跨国组织的咨询顾问. Khan经常在美国和国际会议上就与数据隐私相关的话题发表演讲, 网络安全和风险咨询. 他是一个 ISACA® 杂志 文章审稿并积极投稿 ISACA杂志 和博客. 他还任职于ISACA的数字医疗保健委员会, 推荐行业领先的思想领导和指导. 他是ISACA的获得者® 约翰W. 莱恩哈特四世全球奖，以表彰他对ISACA及其成员所使用的共同知识体系的发展和加强所作的重大贡献.