במסמך הזה מתוארים ההבדלים בין מודל האחריות המשותפת לבין גורל משותף ב- Google Cloud. המאמר מתייחס לאתגרים ולניואנסים של מודל האחריות המשותפת. במסמך הזה מוסבר מהו גורל משותף ואיך אנחנו משתפים פעולה עם הלקוחות שלנו כדי להתמודד עם אתגרי אבטחת הענן.
חשוב להבין את מודל האחריות המשותפת כדי לקבוע איך הכי טוב להגן על הנתונים ועומסי העבודה ב- Google Cloud. מודל האחריות המשותפת מתאר את המשימות שאתם צריכים לבצע בכל הנוגע לאבטחה בענן, ואיך המשימות האלה שונות עבור ספקי שירותי ענן.
עם זאת, לפעמים קשה להבין את האחריות המשותפת. המודל הזה דורש הבנה מעמיקה של כל שירות שבו אתם משתמשים, של אפשרויות ההגדרה שכל שירות מספק ושל הפעולות ש- Google Cloudמבצעת כדי לאבטח את השירות. לכל שירות יש פרופיל להעלאת הגדרות אישיות שונה, ולכן יכול להיות שיהיה קשה לקבוע את הגדרת האבטחה הטובה ביותר. ב-Google מאמינים שמודל האחריות המשותפת לא מספיק כדי לעזור ללקוחות בענן להשיג תוצאות טובות יותר בתחום האבטחה. במקום אחריות משותפת, אנחנו מאמינים בגורל משותף.
הגורל המשותף כולל את בניית פלטפורמת ענן מהימנה והפעלתה עבור עומסי העבודה שלכם. אנחנו מספקים הנחיות לגבי שיטות מומלצות וקוד מאובטח של תשתית מאומתת שבה אפשר להשתמש כדי לפרוס את עומסי העבודה בצורה מאובטחת. אנחנו משיקים פתרונות שמשלבים מגוון שירותים כדי לפתור בעיות אבטחה מורכבות, ומציעים אפשרויות ביטוח חדשניות שיעזרו לכם למדוד ולצמצם את הסיכונים שאתם צריכים לקחת על עצמכם. Google Cloud במודל של גורל משותף, אנחנו מקיימים אינטראקציה הדוקה יותר איתכם בזמן שאתם מאבטחים את המשאבים שלכם ב-Google Cloud.
אחריות משותפת
אתם המומחים בכל מה שקשור לדרישות האבטחה והרגולציה של העסק שלכם, ולדרישות להגנה על הנתונים והמשאבים הסודיים שלכם. כשמריצים עומסי עבודה ב- Google Cloud, צריך לזהות את אמצעי האבטחה שצריך להגדיר ב- Google Cloud כדי להגן על הנתונים הסודיים ועל כל עומס עבודה. כדי להחליט אילו אמצעי בקרה לאבטחה להטמיע, צריך להביא בחשבון את הגורמים הבאים:
- המחויבויות שלכם לעמידה בדרישות רגולטוריות
- תקני האבטחה ותוכנית ניהול הסיכונים של הארגון
- דרישות האבטחה של הלקוחות והספקים שלכם
מוגדרים על ידי עומסי עבודה
באופן מסורתי, האחריות מוגדרת על סמך סוג עומס העבודה שמופעל ועל סמך שירותי הענן שנדרשים. שירותי הענן כוללים את הקטגוריות הבאות:
| שירות ענן | תיאור |
|---|---|
| תשתית כשירות (IaaS) | שירותי IaaS כוללים את Compute Engine, Cloud Storage ושירותי רשת כמו Cloud VPN, Cloud Load Balancing ו-Cloud DNS.
ב-IaaS הלקוחות מקבלים שירותי מחשוב, אחסון ורשתות על פי דרישה, עם תמחור לפי שימוש. אפשר להשתמש ב-IaaS אם אתם מתכננים להעביר עומס עבודה קיים משרת מקומי לענן באמצעות שיטת Lift-and-shift (העברה בלי שינויים), או אם אתם רוצים להריץ את האפליקציה שלכם במכונות וירטואליות מסוימות, באמצעות מסדי נתונים ספציפיים או הגדרות רשת ספציפיות. ב-IaaS, רוב האחריות על האבטחה היא שלכם, והאחריות שלנו מתמקדת בתשתית הבסיסית ובאבטחה הפיזית. |
| פלטפורמה כשירות (PaaS) | שירותי PaaS כוללים את App Engine, Google Kubernetes Engine (GKE) ו-BigQuery.
פלטפורמת PaaS מספקת את סביבת זמן הריצה שבה אפשר לפתח ולהריץ את האפליקציות. אתם יכולים להשתמש ב-PaaS אם אתם בונים אפליקציה (כמו אתר) ורוצים להתמקד בפיתוח ולא בתשתית הבסיסית. ב-PaaS, אנחנו אחראים ליותר אמצעי בקרה מאשר ב-IaaS. בדרך כלל, משך הזמן הזה משתנה בהתאם לשירותים ולתכונות שבהם אתם משתמשים. אתם חולקים איתנו את האחריות לאמצעי בקרה ברמת האפליקציה ולניהול IAM. אתם עדיין אחראים לאבטחת מידע ולהגנה על הלקוחות. |
| תוכנה כשירות (SaaS) | אפליקציות SaaS כוללות את Google Workspace, Google Security Operations ואפליקציות SaaS של צד שלישי שזמינות ב-Google Cloud Marketplace.
SaaS מספק אפליקציות אונליין שאפשר להירשם אליהן או לשלם עבורן בדרך כלשהי. אתם יכולים להשתמש באפליקציות SaaS אם אין לארגון שלכם את המומחיות הפנימית או את הדרישה העסקית לבניית האפליקציה בעצמו, אבל הוא צריך את היכולת לעבד עומסי עבודה. ב-SaaS, אנחנו נושאים ברוב האחריות לאבטחה. אתם אחראים לאמצעי בקרת הגישה ולנתונים שאתם בוחרים לאחסן באפליקציה. |
| פונקציה כשירות (FaaS) או ללא שרת | פונקציות כשירות (FaaS) מספקות למפתחים פלטפורמה להפעלת קוד קטן (שנקרא פונקציות) שמיועד למטרה אחת, ופועל בתגובה לאירועים מסוימים. משתמשים ב-FaaS כשרוצים שדברים מסוימים יקרו על סמך אירוע מסוים. לדוגמה, אתם יכולים ליצור פונקציה שמופעלת בכל פעם שנתונים מועלים ל-Cloud Storage, כדי שניתן יהיה לסווג אותם. ל-FaaS יש רשימה דומה של אחריות משותפת כמו ל-SaaS. פונקציות Cloud Run היא אפליקציית FaaS. |
בתרשים הבא מוצגים שירותי הענן ומוסבר איך האחריות מתחלקת בין ספק שירותי הענן לבין הלקוח.
כפי שאפשר לראות בתרשים, ספק שירותי הענן תמיד אחראי לרשת ולתשתית הבסיסיות, והלקוחות תמיד אחראים למדיניות הגישה ולנתונים שלהם.
מוגדר על ידי התעשייה והמסגרת הרגולטורית
בתעשיות שונות יש מסגרות רגולטוריות שמגדירות את אמצעי האבטחה שצריכים להיות קיימים. כשמעבירים את עומסי העבודה לענן, חשוב להבין את הנקודות הבאות:
- אמצעי האבטחה שבאחריותכם
- אילו אמצעי אבטחה זמינים כחלק מהשירות בענן
- אילו אמצעי אבטחה שמוגדרים כברירת מחדל עוברים בירושה
אמצעי בקרה שמועברים בירושה (כמו ההצפנה שמוגדרת כברירת מחדל ואמצעי הבקרה בתשתית) הם אמצעי בקרה שאתם יכולים לספק כחלק מההוכחות של עמידתכם בדרישות האבטחה למבקרים ולרגולטורים. לדוגמה, בתקן אבטחת הנתונים המקובל בתעשיית כרטיסי תשלום (PCI DSS) מוגדרים תקנות לעיבוד תשלומים. כשמעבירים את העסק לענן, התקנות האלה חלות גם עליכם וגם על ספק שירותי הענן. כדי להבין איך האחריות לתאימות ל-PCI DSS מתחלקת ביניכם לביןGoogle Cloud, אפשר לעיין בGoogle Cloud: מטריצת האחריות המשותפת ל-PCI DSS.
דוגמה נוספת: בארצות הברית, חוק היבילות ואחריות הדיווח של ביטוח בריאות (HIPAA) קובע תקנים לטיפול במידע רפואי אישי אלקטרוני (PHI). האחריות הזו משותפת גם לספק שירותי הענן וגם לכם. מידע נוסף על האופן שבו Google Cloud עומדת באחריות שלה לפי HIPAA זמין במאמר HIPAA - Compliance.
גם בתעשיות אחרות (לדוגמה, פיננסים או ייצור) יש תקנות שמגדירות איך אפשר לאסוף, לעבד ולאחסן נתונים. מידע נוסף על חלוקת האחריות בנושאים האלה ועל האופן שבוGoogle Cloud עומדת באחריות שלה זמין במרכז המשאבים בנושא תאימות.
מוגדר לפי מיקום
בהתאם לתרחיש העסקי, יכול להיות שתצטרכו לקחת בחשבון את האחריות שלכם על סמך המיקום של המשרדים העסקיים, הלקוחות והנתונים שלכם. במדינות ובאזורים שונים נוצרו תקנות שמסבירות איך אפשר לעבד ולאחסן את נתוני הלקוחות. לדוגמה, אם לעסק שלכם יש לקוחות שמתגוררים באיחוד האירופי, יכול להיות שתצטרכו לפעול בהתאם לדרישות שמתוארות בתקנה הכללית להגנה על מידע (GDPR), ויכול להיות שתהיו מחויבים לשמור את נתוני הלקוחות שלכם באיחוד האירופי עצמו. במקרה כזה, אתם אחראים לוודא שהנתונים שאתם אוספים יישארו באזוריGoogle Cloud באיחוד האירופי. מידע נוסף על האופן שבו אנחנו עומדים בדרישות של GDPR זמין במאמר בנושא GDPR ו- Google Cloud.
מידע על הדרישות שקשורות לאזור שלכם זמין במאמר הצעות לשמירה על תאימות. אם התרחיש שלכם מורכב במיוחד, מומלץ לדבר עם צוות המכירות שלנו או עם אחד השותפים שלנו כדי לקבל עזרה בהערכת האחריות שלכם בנושא אבטחה.
אתגרים באחריות משותפת
אחריות משותפת עוזרת להגדיר את תפקידי האבטחה שלכם או של ספק שירותי הענן, אבל עדיין יכולים להיות אתגרים בהסתמכות על אחריות משותפת. כדאי להביא בחשבון את התרחישים הבאים:
- רוב הפרצות באבטחת הענן הן תוצאה ישירה של הגדרה שגויה (מופיעה במקום השלישי ב-Pandemic 11 Report של Cloud Security Alliance), והמגמה הזו צפויה להתחזק. מוצרי Cloud משתנים כל הזמן, ואנחנו משיקים מוצרים חדשים באופן קבוע. התעדכנות בשינויים מתמידים יכולה להיות משימה מורכבת. הלקוחות צריכים מספקי ענן שיספקו להם שיטות מומלצות מבוססות-דעות כדי לעזור להם להתעדכן בשינויים. השיטות המומלצות צריכות להיות מוגדרות כברירת מחדל, וצריכה להיות הגדרה בסיסית מאובטחת.
- חלוקת הפריטים לפי שירותי ענן היא מועילה, אבל להרבה ארגונים יש עומסי עבודה שדורשים כמה סוגים של שירותי ענן. במקרה כזה, צריך לבדוק איך אמצעי האבטחה השונים של השירותים האלה פועלים יחד, כולל אם יש חפיפה ביניהם בשירותים השונים. לדוגמה, יכול להיות שיש לכם אפליקציה מקומית שאתם מעבירים ל-Compute Engine, שאתם משתמשים ב-Google Workspace לדואר אלקטרוני ארגוני, וגם מפעילים את BigQuery כדי לנתח נתונים ולשפר את המוצרים שלכם.
- העסק והשווקים שלכם משתנים כל הזמן. למשל, כשמשתנים התקנות, כשנכנסים לשווקים חדשים או כשרוכשים חברות אחרות. יכול להיות שבשווקים החדשים שלכם יש דרישות שונות, ושהחברה החדשה שרכשתם מארחת את עומסי העבודה שלה בענן אחר. כדי להתמודד עם השינויים התמידיים, צריך להעריך מחדש את פרופיל הסיכון באופן קבוע וליישם אמצעי בקרה חדשים במהירות.
- ההחלטה איך ומאיפה לנהל את המפתחות להצפנת נתונים (DEK) היא חשובה וקשורה לאחריות שלכם להגן על הנתונים. האפשרות שתבחרו תלויה בדרישות הרגולטוריות, בשאלה אם אתם מפעילים סביבת ענן היברידית או שעדיין יש לכם סביבה מקומית, וברמת הרגישות של הנתונים שאתם מעבדים ומאחסנים.
- ניהול אירועי אבטחה הוא תחום חשוב, שלעתים קרובות מתעלמים ממנו, שבו לא קל להגדיר את האחריות שלכם ושל ספק שירותי הענן. במקרים רבים, נדרשת תמיכה ושיתוף פעולה הדוק מצד ספק שירותי הענן כדי לחקור את האירועים ולצמצם את ההשפעה שלהם. אירועים אחרים יכולים לנבוע ממשאבי ענן שהוגדרו בצורה לא טובה או מפרטי כניסה גנובים, ולכן יכול להיות די מאתגר לוודא שאתם עומדים בשיטות המומלצות לאבטחת המשאבים והחשבונות שלכם.
- איומים מתמשכים מתקדמים (APTs) ונקודות חולשה חדשות יכולים להשפיע על עומסי העבודה שלכם בדרכים שאולי לא חשבתם עליהן כשמתחילים את המעבר לענן. קשה להתעדכן בשינויים שחלים בתחום, ולדעת מי אחראי לצמצום האיומים, במיוחד אם לעסק שלכם אין צוות אבטחה גדול.
גורל משותף
פיתחנו את המודל 'גורל משותף' ב- Google Cloud כדי להתחיל לתת מענה לאתגרים שלא מקבלים מענה במודל האחריות המשותפת. המושג 'גורל משותף' מתמקד בשיפור מתמשך של האבטחה באמצעות אינטראקציה טובה יותר בין כל הצדדים. מודל הגורל המשותף מבוסס על מודל האחריות המשותפת, כי הוא רואה את הקשר בין ספק שירותי הענן לבין הלקוח כשותפות מתמשכת לשיפור האבטחה.
אחריות משותפת היא אחריות שלנו להפוך את Google Cloud למאובטח יותר. האחריות המשותפת כוללת עזרה בהתחלת העבודה עם אזור נחיתה מאובטח, וכן מתן המלצות ברורות, מבוססות-דעות ושקופות לגבי אמצעי בקרה, הגדרות ושיטות מומלצות שקשורות לאבטחה. התוכנית כוללת עזרה בכימות ובניהול הסיכון באמצעות ביטוח סייבר, בעזרת תוכנית ההגנה מפני סיכונים שלנו. אנחנו רוצים להשתמש בגישת הגורל המשותף כדי להתפתח ממסגרת האחריות המשותפת הרגילה למודל טוב יותר שיעזור לכם לאבטח את העסק ולבנות אמון ב- Google Cloud.
בקטעים הבאים מתוארים רכיבים שונים של אחריות משותפת.
עזרה בתחילת העבודה
רכיב מרכזי של אחריות משותפת הוא המשאבים שאנחנו מספקים כדי לעזור לכם להתחיל, בהגדרה מאובטחת ב- Google Cloud. התחלה עם הגדרה מאובטחת עוזרת לצמצם את הבעיה של הגדרות שגויות, שהיא הגורם העיקרי לרוב הפרצות באבטחה.
מקורות המידע שלנו כוללים:
- תוכנית לניהול יסודות האבטחה בארגון שבה מפורטים החששות העיקריים בנושא אבטחה וההמלצות המובילות שלנו.
תוכניות בסיסיות מאובטחות שמאפשרות לפרוס ולתחזק פתרונות מאובטחים באמצעות תשתית כקוד (IaC). ההמלצות שלנו בנושא אבטחה מופעלות בתוכניות כברירת מחדל. תוכניות רבות נוצרות על ידי צוותי האבטחה של Google ומנוהלות כמו מוצרים. התמיכה הזו אומרת שהם מתעדכנים באופן קבוע, עוברים תהליך בדיקה קפדני ומקבלים אישורים מקבוצות בדיקה של צד שלישי. תוכניות כוללות את התוכנית של יסודות ארגוניים ואת התוכנית של מחסן נתונים מאובטח.
המלצות של Google Cloud Well-Architected Framework לבניית אבטחה בתכנונים שלכם.
מדריכים לניווט באזור הנחיתה שכוללים הסברים מפורטים על ההחלטות החשובות שצריך לקבל כדי לבנות בסיס מאובטח לעומסי העבודה, כולל היררכיית משאבים, צירוף זהויות, אבטחה וניהול מפתחות ומבנה רשת.
התוכנית להגנה מסיכונים
הגורל המשותף כולל גם את התוכנית להגנה מסיכונים (בשלב התצוגה המקדימה), שעוזרת לכם להשתמש ביכולות של Google Cloud כפלטפורמה לניהול סיכונים, במקום לראות בעומסי עבודה בענן עוד מקור סיכון שצריך לנהל. התוכנית להגנה מסיכונים היא שיתוף פעולה בין Google Cloud לבין שתי חברות מובילות בתחום ביטוח הסייבר: Munich Re ו-Allianz Global & Corporate Speciality.
התוכנית להגנה מסיכונים כוללת את Cyber Insurance Hub, שמספק תובנות שמבוססות על נתונים. התובנות האלה יכולות לעזור לכם להבין טוב יותר את מצב האבטחה שלכם בענן. אם אתם מחפשים כיסוי ביטוחי מפני סיכוני סייבר, אתם יכולים לשתף את התובנות האלה ממרכז ביטוח הסייבר ישירות עם חברות הביטוח השותפות שלנו כדי לקבל הצעת מחיר. מידע נוסף זמין במאמר בנושא Google Cloud התוכנית להגנה מסיכונים זמינה עכשיו בגרסת Preview.
עזרה בפריסה ובניהול
בנוסף, שיתוף גורל עוזר לכם להמשיך לנהל את הסביבה שלכם. לדוגמה, אנחנו מתמקדים במוצרים הבאים:
- Assured Workloads, שעוזרת לכם לעמוד בחובות התאימות.
- Security Command Center Premium, שמשתמש במודיעין איומים, בזיהוי איומים, בסריקת אינטרנט ובשיטות מתקדמות אחרות כדי לנטר ולזהות איומים. בנוסף, הוא מספק דרך לפתור הרבה מהאיומים האלה במהירות ובאופן אוטומטי.
- כללי מדיניות של הארגון והגדרות משאבים שמאפשרים להגדיר כללי מדיניות בכל היררכיית התיקיות והפרויקטים.
- כלים לבקרת מדיניות שמספקים תובנות לגבי גישה לחשבונות ולמשאבים.
- Confidential Computing, שמאפשרת להצפין נתונים בשימוש.
- Sovereign Controls by Partners, שזמינים במדינות מסוימות ועוזרים לאכוף את הדרישות בנוגע למיקום הנתונים.
יישום של אחריות משותפת וגורל משותף
כחלק מתהליך התכנון, כדאי לבצע את הפעולות הבאות כדי להבין את אמצעי האבטחה המתאימים וליישם אותם:
- יוצרים רשימה של סוגי עומסי העבודה שרוצים לארח ב-Google Cloud, ומציינים אם הם דורשים שירותי IaaS, PaaS ו-SaaS. אתם יכולים להשתמש בדיאגרמת האחריות המשותפת כרשימת משימות כדי לוודא שאתם מכירים את אמצעי הבקרה לאבטחה שאתם צריכים לקחת בחשבון.
- יוצרים רשימה של דרישות רגולטוריות שאתם צריכים לעמוד בהן, וניגשים למשאבים בCompliance resource center שקשורים לדרישות האלה.
- במרכז הארכיטקטורה תוכלו לעיין ברשימה של תוכניות וארכיטקטורות זמינות כדי למצוא את אמצעי הבקרה לאבטחה שנדרשים לעומסי העבודה הספציפיים שלכם. התוכניות מספקות רשימה של אמצעי בקרה מומלצים וקוד IaC שנדרש לפריסת הארכיטקטורה הזו.
- כדי לעצב היררכיית משאבים וארכיטקטורת רשת שעונות על הדרישות שלכם, תוכלו להיעזר במסמכי ההסבר על אזור הנחיתה ובהמלצות שבמדריך לשימוש ב-Enterprise Foundations. כדי להאיץ את תהליך הפיתוח, אפשר להשתמש בתוכניות מפורטות של עומסי עבודה, כמו מחסן נתונים מאובטח.
- אחרי שפורסים את עומסי העבודה, צריך לוודא שאתם עומדים באחריות שלכם בנושא אבטחה באמצעות שירותים כמו Cyber Insurance Hub, Assured Workloads, כלים לבקרת מדיניות ו-Security Command Center Premium.
מידע נוסף זמין במאמר CISO's Guide to Cloud Transformation.
המאמרים הבאים
- כדאי לעיין בעקרונות האבטחה המרכזיים.
- חשוב להתעדכן במשאבים בנושא גורל משותף.
- כדאי לעיין בתוכניות שזמינות, כולל התוכנית לניהול יסודות האבטחה ודוגמאות לעומסי עבודה כמו מחסן נתונים מאובטח.
- מידע נוסף על גורל משותף
- במאמר סקירה כללית על תכנון האבטחה בתשתית של Google תוכלו לקרוא על התשתית הבסיסית המאובטחת שלנו.
- כאן Google Cloud (PDF) אפשר לקרוא איך מטמיעים שיטות מומלצות של NIST Cybersecurity Framework.