Gemeinsame Verantwortlichkeit

Sicherheit und Compliance stellen eine übergreifende Verantwortlichkeit zwischen AWS und dem Kunden dar. Durch dieses gemeinsame Modell kann der Kunde entlastet werden, da AWS die Komponenten vom Host-Betriebssystem und der Virtualisierungsebene bis hin zur physischen Sicherheit der Einrichtungen, in denen der Service läuft, betreibt, verwaltet und kontrolliert. Der Kunde übernimmt Verantwortung für das Gastbetriebssystem und dessen Verwaltung (einschließlich Updates und Sicherheits-Patches) und andere damit verbundene Anwendungssoftware zusätzlich zur Konfiguration der von AWS bereitgestellten Firewall für die Sicherheitsgruppe. Kunden sollten sich gut überlegen, welche Services sie auswählen, da ihre Verantwortlichkeit von den genutzten Services, von deren Integration in ihre IT-Umgebung sowie von den geltenden Gesetzen und Vorschriften abhängt. Diese geteilte Verantwortung bietet auch die nötige Flexibilität und Kundenkontrolle für eine Bereitstellung. Wie im folgenden Diagramm dargestellt, wird diese Differenzierung der Verantwortung als Sicherheit „der“ Cloud bezeichnet, im Gegensatz zur Sicherheit „in“ der Cloud.

AWS-Verantwortlichkeit „Sicherheit der Cloud“: AWS ist für den Schutz der Infrastruktur verantwortlich, in der alle in der AWS angebotenen Services ausgeführt werden. Diese Infrastruktur besteht aus der Hardware, Software, dem Netzwerk und den Einrichtungen, auf und in denen AWS Cloud-Services ausgeführt werden.

Kundenverantwortlichkeit „Sicherheit in der Cloud“: Die Kundenverantwortlichkeit wird durch die AWS-Cloud-Services bestimmt, die ein Kunde auswählt. Dadurch wird der Umfang der Konfiguration bestimmt, die der Kunde im Rahmen seiner Sicherheitsverantwortung durchführen muss. Ein Service wie Amazon Elastic Compute Cloud (Amazon EC2) wird beispielsweise als Infrastructure as a Service (IaaS) kategorisiert und erfordert als solcher, dass der Kunde alle notwendigen Aufgaben der Sicherheitskonfiguration und -verwaltung übernimmt. Kunden, die eine Amazon-EC2-Instance einsetzen, sind für die Verwaltung des Gastbetriebssystems (einschließlich Updates und Sicherheitspatches), für die Anwendungssoftware oder Dienstprogramme, die vom Kunden auf den Instances installiert wurden, sowie für die Konfiguration der von AWS bereitgestellten Firewall (Sicherheitsgruppe genannt) auf jeder Instance verantwortlich. Für abstrakte Services wie Amazon S3 und Amazon DynamoDB betreibt AWS die Infrastrukturebene, das Betriebssystem und die Plattformen. Kunden greifen auf die Endpunkte zu, um Daten zu speichern und abzurufen. Die Kunden sind für die Verwaltung ihrer Daten (einschließlich Verschlüsselungsoptionen), die Klassifizierung ihrer Assets und die Verwendung von IAM-Tools zur Anwendung der entsprechenden Berechtigungen verantwortlich.

Abbildung 1: Das AWS-Modell der geteilten Verantwortung

Das Modell der geteilten Verantwortung von Kunde/AWS kann auch auf IT-Kontrollen ausgedehnt werden. Genauso wie die Verantwortung für den Betrieb der IT-Umgebung zwischen AWS und seinen Kunden geteilt wird, wird auch die Verwaltung, der Betrieb und die Überprüfung der IT-Kontrollen geteilt. AWS kann dazu beitragen, den Kunden bei der Bedienung der Mechanismen zu entlasten, indem es die Mechanismen verwaltet, die mit der in der AWS-Umgebung eingesetzten physischen Infrastruktur verbunden sind und zuvor vom Kunden verwaltet wurden. Da jede Kundenumgebung in AWS anders bereitgestellt wird, können Kunden vom Verlagern der Verwaltung bestimmter IT-Mechanismen an AWS profitieren, was zu einer (neuen) verteilten Kontrollumgebung führt. Die Kunden können dann die ihnen zur Verfügung stehenden AWS-Kontroll- und Konformitätsdokumente nutzen, um ihre Kontrollbewertungs- und -überprüfungsverfahren nach Bedarf durchzuführen. Nachfolgend finden Sie Beispiele für Kontrollen, die von AWS, AWS-Kunden oder von beiden verwaltet werden.

Vererbte Kontrollen: Kontrollen, die von AWS vollständig auf den Kunden übergehen.

• Physische Kontrollen und Umgebungskontrollen

Geteilte Kontrollen: Kontrollen, die für die Infrastruktur- und die Kundenebene gelten, allerdings in vollständig voneinander getrennten Kontexten oder Perspektiven. Bei einer geteilten Kontrolle werden die Anforderungen an die Infrastruktur von AWS bereitgestellt, und der Kunde muss seine eigene Kontrollimplementierung im Rahmen der Nutzung der AWS-Services bereitstellen. Beispiele sind unter anderem:

• Patch Management – AWS ist für das Patchen und Beheben von Fehlern innerhalb der Infrastruktur zuständig, aber die Kunden sind für das Patchen ihres Gastbetriebssystems und ihrer Anwendungen verantwortlich.

• Konfigurationsmanagement – AWS verwaltet die Konfiguration seiner Infrastrukturgeräte, aber die Kunden sind für die Konfiguration ihrer eigenen Gastbetriebssysteme, Datenbanken und Anwendungen verantwortlich.

• Sensibilisierung und Schulung – AWS schult AWS-Mitarbeiter, aber die Kunden müssen ihre eigenen Mitarbeiter schulen.

Kundenspezifisch: Kontrollen, die alleine in der Verantwortung des Kunden liegen und auf der Anwendung basieren, die er innerhalb von AWS-Services bereitstellt. Beispiele sind unter anderem:

• Services- und Kommunikationsschutz oder Zonensicherheit, die einen Kunden dazu verpflichten können, Daten innerhalb bestimmter Sicherheitsumgebungen weiterzuleiten oder in Zonen zu fassen.