Responsabilité partagée

La responsabilité en matière de sécurité et de conformité est partagée entre AWS et vous. Ce modèle partagé allège votre charge opérationnelle, car AWS exploite, gère et contrôle les composants depuis le système d'exploitation hôte et la couche de virtualisation jusqu'à la sécurité physique des installations dans lesquelles les services sont exploités.

Vous êtes responsable de la gestion des systèmes d'exploitation invités (y compris les mises à jour et les correctifs de sécurité) et des logiciels d'application, ainsi que de la configuration des contrôles de sécurité fournis par AWS, tels que les groupes de sécurité, les listes de contrôle d'accès réseau et la gestion des identités et des accès. Vous devez réfléchir attentivement aux services que vous choisissez, car vos responsabilités varient selon les services choisis, l'intégration de ces services dans votre environnement informatique et la législation et la réglementation en vigueur. La Figure 2 montre une représentation classique du modèle de responsabilité partagée tel qu'il s'applique aux services d'infrastructure, par exemple Amazon Elastic Compute Cloud (Amazon EC2). Il distingue la plupart des responsabilités en deux catégories : la sécurité du cloud (gérée par AWS) et la sécurité dans le cloud (gérée par le client). Les responsabilités peuvent changer en fonction des services que vous utilisez. Pour les services dissociés, tels qu'Amazon S3 et Amazon DynamoDB, AWS exploite la couche d'infrastructure, le système d'exploitation et les plateformes, tandis que les clients ont accès aux points de terminaison pour stocker et extraire des données. Le client est responsable de la gestion de ses données (y compris des options de chiffrement), du classement de ses ressources et de l'utilisation des outils IAM pour appliquer les autorisations appropriées.

Cependant, le modèle de responsabilité partagée évolue avec l'ajout de conteneurs et d'autres services qui transfèrent le modèle d'exploitation vers le fournisseur de services. Au fur et à mesure que nous nous dirigeons vers la gauche du modèle opérationnel, en nous éloignant de l'IaaS et des centres de données et en nous dirigeant vers le PaaS, la responsabilité du fournisseur de services augmente. Un client a moins de responsabilités dans le cloud et profite d'une exploitation plus facile lorsqu'il utilise la migration vers la gauche du graphique. Examinez les figures suivantes et les différences dans la capacité à exploiter ou à fonctionner dans le cloud. À mesure que votre responsabilité partagée dans le cloud évolue, vos options en matière de réponse aux incidents ou d'analyse des attaques évoluent également. En tant que client, lorsque vous planifiez votre réponse aux incidents, vous devez également vous assurer que votre planification tient compte des capacités dont vous disposez dans votre modèle d'exploitation et que vous planifiez les interactions possibles avant qu'elles ne se produisent dans le modèle que vous avez choisi. La planification et la compréhension de ces compromis et leur adéquation à vos besoins en matière de gouvernance constituent une étape cruciale de la réponse aux incidents.

Figure 1 : Modèle de responsabilité partagée

Figure 2 : Modèle de responsabilité partagée Amazon Elastic Container Service (Amazon ECS) avec AWS Fargate

Outre la relation directe que vous entretenez avec AWS, d'autres entités peuvent avoir des responsabilités dans votre modèle de responsabilité particulier. Par exemple, des unités d'organisation internes peuvent assumer la responsabilité de certains aspects de vos opérations. Des partenaires ou d'autres tiers peuvent également développer, gérer ou exploiter certaines de vos technologies de cloud.

Il est extrêmement important de créer un runbook de réponse aux incidents et d'analyse des attaques approprié qui correspond à votre modèle d'exploitation. Votre réussite dépend de votre compréhension des types d'outils que vous devez créer, ou des outils que vous devez acheter, pour le modèle d'exploitation que vous avez sélectionné. Plus votre organisation comprend les outils disponibles, mieux vous serez préparé à répondre aux besoins du modèle de gouvernance, de risque et de conformité (GRC) de votre entreprise.