במסמך הזה מתוארים ההבדלים בין מודל האחריות המשותפת לבין גורל משותף ב- Google Cloud. המאמר מתייחס לאתגרים ולניואנסים של מודל האחריות המשותפת. במסמך הזה מתואר המושג 'גורל משותף' ומוסבר איך אנחנו משתפים פעולה עם הלקוחות שלנו כדי להתמודד עם אתגרי אבטחה בענן.
חשוב להבין את מודל האחריות המשותפת כדי לקבוע איך הכי טוב להגן על הנתונים ועומסי העבודה ב- Google Cloud. מודל האחריות המשותפת מתאר את המשימות שמוטלות עליכם בכל הנוגע לאבטחה בענן, ומסביר איך המשימות האלה שונות עבור ספקי שירותי ענן.
עם זאת, לפעמים קשה להבין את האחריות המשותפת. המודל הזה דורש הבנה מעמיקה של כל שירות שבו אתם משתמשים, של אפשרויות ההגדרה שכל שירות מספק ושל הפעולות ש- Google Cloudמבצעת כדי לאבטח את השירות. לכל שירות יש פרופיל הגדרה שונה, ולכן יכול להיות קשה לקבוע את הגדרת האבטחה הטובה ביותר. Google מאמינה שמודל האחריות המשותפת לא מספיק כדי לעזור ללקוחות ענן להשיג תוצאות אבטחה טובות יותר. במקום אחריות משותפת, אנחנו מאמינים בגורל משותף.
הגורל המשותף כולל את בניית פלטפורמת ענן מהימנה והפעלתה עבור עומסי העבודה שלכם. אנחנו מספקים הנחיות לגבי שיטות מומלצות וקוד תשתית מאובטח ומאושר שבו אפשר להשתמש כדי לפרוס את עומסי העבודה בצורה מאובטחת. אנחנו משיקים פתרונות שמשלבים מגוון שירותים כדי לפתור בעיות אבטחה מורכבות, ומציעים אפשרויות ביטוח חדשניות שיעזרו לכם למדוד ולצמצם את הסיכונים שאתם צריכים לקחת על עצמכם. Google Cloud במודל של גורל משותף, אנחנו מקיימים אינטראקציה הדוקה יותר איתכם בזמן שאתם מאבטחים את המשאבים שלכם ב-Google Cloud.
אחריות משותפת
אתם המומחים בכל הנוגע לדרישות האבטחה והרגולציה של העסק שלכם, ולדרישות להגנה על הנתונים והמשאבים הסודיים שלכם. כשמריצים עומסי עבודה ב- Google Cloud, צריך לזהות את אמצעי האבטחה שצריך להגדיר ב- Google Cloud כדי להגן על הנתונים הסודיים ועל כל עומס עבודה. כדי להחליט אילו אמצעי בקרה לאבטחה להטמיע, צריך להביא בחשבון את הגורמים הבאים:
- המחויבויות שלכם לעמידה בדרישות רגולטוריות
- תקני האבטחה ותוכנית ניהול הסיכונים של הארגון
- דרישות האבטחה של הלקוחות והספקים שלכם
מוגדר על ידי עומסי עבודה
באופן מסורתי, האחריות מוגדרת על סמך סוג עומס העבודה שמופעל ועל סמך שירותי הענן שנדרשים. שירותי הענן כוללים את הקטגוריות הבאות:
| שירות ענן | תיאור |
|---|---|
| תשתית כשירות (IaaS) | שירותי IaaS כוללים את Compute Engine, Cloud Storage ושירותי רשת כמו Cloud VPN, Cloud Load Balancing ו-Cloud DNS.
ב-IaaS הלקוחות מקבלים שירותי מחשוב, אחסון ורשתות לפי דרישה, עם תמחור לפי שימוש. אפשר להשתמש ב-IaaS אם אתם מתכננים להעביר עומס עבודה קיים משרת מקומי לענן באמצעות שיטת Lift-and-shift (העברה בלי שינויים), או אם אתם רוצים להריץ את האפליקציה שלכם במכונות וירטואליות מסוימות, באמצעות מסדי נתונים ספציפיים או הגדרות רשת ספציפיות. ב-IaaS, רוב האחריות על האבטחה מוטלת עליכם, והאחריות שלנו מתמקדת בתשתית הבסיסית ובאבטחה הפיזית. |
| פלטפורמה כשירות (PaaS) | שירותי PaaS כוללים את App Engine, Google Kubernetes Engine (GKE) ו-BigQuery.
פלטפורמת PaaS מספקת את סביבת זמן הריצה שבה אפשר לפתח ולהריץ את האפליקציות. אתם יכולים להשתמש ב-PaaS אם אתם בונים אפליקציה (כמו אתר) ורוצים להתמקד בפיתוח ולא בתשתית הבסיסית. ב-PaaS, אנחנו אחראים ליותר אמצעי בקרה מאשר ב-IaaS. בדרך כלל, משך הזמן הזה משתנה בהתאם לשירותים ולתכונות שבהם אתם משתמשים. אתם חולקים איתנו את האחריות לאמצעי הבקרה ברמת האפליקציה ולניהול IAM. אתם נשארים אחראים לאבטחת המידע ולהגנה על הלקוחות. |
| תוכנה כשירות (SaaS) | אפליקציות SaaS כוללות את Google Workspace, Google Security Operations ואפליקציות SaaS של צד שלישי שזמינות ב-Google Cloud Marketplace.
SaaS מספק אפליקציות אונליין שאפשר להירשם אליהן או לשלם עבורן בדרך כלשהי. אתם יכולים להשתמש באפליקציות SaaS אם אין לארגון שלכם את המומחיות הפנימית או את הדרישה העסקית לבניית האפליקציה בעצמו, אבל הוא צריך את היכולת לעבד עומסי עבודה. ב-SaaS, אנחנו נושאים ברוב האחריות לאבטחה. אתם עדיין אחראים לאמצעי בקרת הגישה ולנתונים שאתם בוחרים לאחסן באפליקציה. |
| פונקציה כשירות (FaaS) או בלי שרת (serverless) | פונקציות כשירות (FaaS) מספקות למפתחים פלטפורמה להפעלת קוד קטן (שנקרא פונקציות) שמיועד למטרה אחת, ופועל בתגובה לאירועים מסוימים. משתמשים ב-FaaS כשרוצים שדברים מסוימים יקרו על סמך אירוע מסוים. לדוגמה, אתם יכולים ליצור פונקציה שמופעלת בכל פעם שנתונים מועלים ל-Cloud Storage כדי שניתן יהיה לסווג אותם. ל-FaaS יש רשימה דומה של אחריות משותפת כמו ל-SaaS. Cloud Run functions היא אפליקציית FaaS. |
בתרשים הבא מוצגים שירותי הענן ומוסבר איך האחריות מתחלקת בין ספק שירותי הענן לבין הלקוח.
כפי שאפשר לראות בתרשים, ספק הענן תמיד אחראי לרשת ולתשתית הבסיסיות, והלקוחות תמיד אחראים למדיניות הגישה ולנתונים שלהם.
מוגדר על ידי התעשייה והמסגרת הרגולטורית
בתעשיות שונות יש מסגרות רגולטוריות שמגדירות את אמצעי האבטחה שצריכים להיות במקום. כשמעבירים את עומסי העבודה לענן, חשוב להבין את הנקודות הבאות:
- אמצעי האבטחה שבאחריותכם
- אילו אמצעי אבטחה זמינים כחלק מהשירות בענן
- אילו אמצעי אבטחה שמוגדרים כברירת מחדל עוברים בירושה
אמצעי בקרה שמועברים בירושה (כמו ההצפנה שמוגדרת כברירת מחדל ואמצעי הבקרה בתשתית) הם אמצעי בקרה שאתם יכולים לספק כחלק מההוכחות של רמת האבטחה שלכם למבקרים ולרגולטורים. לדוגמה, בתקן אבטחת הנתונים המקובל בתעשיית כרטיסי תשלום (PCI DSS) מוגדרות תקנות לעיבוד תשלומים. כשמעבירים את העסק לענן, התקנות האלה חלות גם עליכם וגם על ספק שירותי הענן (CSP). כדי להבין איך האחריות לתאימות ל-PCI DSS מתחלקת ביניכם לביןGoogle Cloud, אפשר לעיין בGoogle Cloud: מטריצת האחריות המשותפת ל-PCI DSS.
דוגמה נוספת: בארצות הברית, חוק היבילות ואחריות הדיווח של ביטוח בריאות (HIPAA) קובע תקנים לטיפול במידע רפואי אישי (PHI) אלקטרוני. האחריות הזו משותפת גם לספק שירותי הענן וגם לכם. מידע נוסף על האופן שבו Google Cloud עומדת באחריות שלנו לפי HIPAA זמין במאמר HIPAA – Compliance.
גם בתעשיות אחרות (לדוגמה, פיננסים או ייצור) יש תקנות שמגדירות איך אפשר לאסוף, לעבד ולאחסן נתונים. מידע נוסף על אחריות משותפת בנושאים האלה ועל האופן שבוGoogle Cloud עומדת באחריות שלה זמין בCompliance resource center.
מוגדר לפי מיקום
בהתאם לתרחיש העסקי, יכול להיות שתצטרכו לקחת בחשבון את האחריות שלכם על סמך המיקום של המשרדים העסקיים, הלקוחות והנתונים שלכם. במדינות ובאזורים שונים נוצרו תקנות שמסבירות איך אפשר לעבד ולאחסן את נתוני הלקוחות. לדוגמה, אם לעסק שלכם יש לקוחות שמתגוררים באיחוד האירופי, יכול להיות שהעסק שלכם יצטרך לפעול בהתאם לדרישות שמתוארות בתקנה הכללית להגנה על מידע (GDPR), ויכול להיות שתהיו מחויבים לשמור את נתוני הלקוחות שלכם באיחוד האירופי עצמו. במקרה כזה, אתם אחראים לוודא שהנתונים שאתם אוספים יישארו באזוריםGoogle Cloud באיחוד האירופי. מידע נוסף על האופן שבו אנחנו עומדים בהתחייבויות שלנו בהתאם ל-GDPR זמין במאמר בנושא GDPR ו- Google Cloud.
מידע על הדרישות שקשורות לאזור שלכם זמין במאמר הצעות לשמירה על תאימות. אם התרחיש שלכם מורכב במיוחד, מומלץ לדבר עם צוות המכירות שלנו או עם אחד השותפים שלנו כדי לקבל עזרה בהערכת האחריות שלכם בנושא אבטחה.
אתגרים שקשורים לאחריות משותפת
אף על פי שהאחריות המשותפת עוזרת להגדיר את תפקידי האבטחה שלכם או של ספק שירותי הענן, ההסתמכות על אחריות משותפת עדיין עלולה ליצור אתגרים. כדאי להביא בחשבון את התרחישים הבאים:
- רוב הפרצות באבטחת הענן הן תוצאה ישירה של הגדרות שגויות (מופיע כמספר 3 בדוח Pandemic 11 של Cloud Security Alliance), והמגמה הזו צפויה להתחזק. מוצרי Cloud משתנים כל הזמן, ואנחנו משיקים מוצרים חדשים באופן קבוע. התעדכנות בשינויים מתמידים יכולה להיות משימה מורכבת. הלקוחות צריכים מספקי ענן שיספקו להם שיטות מומלצות מבוססות-דעות כדי לעזור להם להתעדכן בשינויים, החל משיטות מומלצות כברירת מחדל ועד להגדרת אבטחה בסיסית.
- חלוקת הפריטים לפי שירותי ענן היא מועילה, אבל להרבה ארגונים יש עומסי עבודה שדורשים כמה סוגים של שירותי ענן. במקרה כזה, צריך לבדוק איך אמצעי אבטחה שונים בשירותים האלה פועלים יחד, כולל אם יש חפיפה בין השירותים. לדוגמה, יכול להיות שיש לכם אפליקציה מקומית שאתם מעבירים ל-Compute Engine, שאתם משתמשים ב-Google Workspace לדואר אלקטרוני ארגוני, וגם מפעילים את BigQuery כדי לנתח נתונים ולשפר את המוצרים שלכם.
- העסק והשווקים שלכם משתנים כל הזמן, למשל כשנכנסים לתוקף תקנות חדשות, כשנכנסים לשווקים חדשים או כשרוכשים חברות אחרות. יכול להיות שבשווקים החדשים שלכם יש דרישות שונות, ושהחברה החדשה שרכשתם מארחת את עומסי העבודה שלה בענן אחר. כדי להתמודד עם השינויים התמידיים, צריך להעריך מחדש את פרופיל הסיכון באופן קבוע וליישם אמצעי בקרה חדשים במהירות.
- ההחלטה איך ומאיפה לנהל את המפתחות להצפנת נתונים (DEK) היא חשובה וקשורה לאחריות שלכם להגן על הנתונים. האפשרות שתבחרו תלויה בדרישות הרגולטוריות, בשאלה אם אתם מפעילים סביבת ענן היברידי או שעדיין יש לכם סביבה מקומית, וברמת הרגישות של הנתונים שאתם מעבדים ומאחסנים.
- ניהול אירועים הוא תחום חשוב, שלעתים קרובות מתעלמים ממנו, שבו לא קל להגדיר את האחריות שלכם ואת האחריות של ספק שירותי הענן. במקרים רבים, נדרשת תמיכה ושיתוף פעולה הדוק מצד ספק שירותי הענן כדי לחקור את האירועים ולצמצם את ההשפעה שלהם. אירועים אחרים יכולים לנבוע ממשאבי ענן שהוגדרו בצורה לא טובה או מפרטי כניסה גנובים, ויכול להיות שיהיה לכם קשה לוודא שאתם עומדים בשיטות המומלצות לאבטחת המשאבים והחשבונות שלכם.
- איומים מתמשכים מתקדמים (APTs) ונקודות חולשה חדשות יכולים להשפיע על עומסי העבודה שלכם בדרכים שאולי לא חשבתם עליהן כשמתחילים את המעבר לענן. קשה להתעדכן בשינויים בתחום ולדעת מי אחראי לצמצום האיומים, במיוחד אם לעסק אין צוות אבטחה גדול.
גורל משותף
פיתחנו את המודל 'גורל משותף' ב- Google Cloud כדי להתחיל לתת מענה לאתגרים שלא מקבלים מענה במודל 'אחריות משותפת'. המושג 'גורל משותף' מתמקד בשיפור מתמשך של האבטחה באמצעות אינטראקציה טובה יותר בין כל הצדדים. מודל הגורל המשותף מבוסס על מודל האחריות המשותפת, כי הוא רואה את היחסים בין ספק שירותי הענן ללקוח כשותפות מתמשכת לשיפור האבטחה.
אחריות משותפת היא אחריות שלנו להפוך את Google Cloud למאובטח יותר. האחריות המשותפת כוללת עזרה בהתחלת העבודה עם אזור נחיתה מאובטח, וכן מתן המלצות ברורות, מבוססות-דעות ושקופות לגבי אמצעי בקרה, הגדרות ושיטות מומלצות שקשורות לאבטחה. התוכנית כוללת עזרה בכימות הסיכון וניהולו באמצעות ביטוח סייבר, במסגרת תוכנית הגנת הסיכון שלנו. אנחנו רוצים להשתמש בגישה של גורל משותף כדי להתפתח ממסגרת האחריות המשותפת הרגילה למודל טוב יותר שיעזור לכם לאבטח את העסק שלכם ולבנות אמון ב- Google Cloud.
בקטעים הבאים מתוארים רכיבים שונים של אחריות משותפת.
עזרה בתחילת העבודה
רכיב מרכזי של אחריות משותפת הוא המשאבים שאנחנו מספקים כדי לעזור לכם להתחיל, בהגדרה מאובטחת ב- Google Cloud. התחלה עם הגדרה מאובטחת עוזרת לצמצם את הבעיה של הגדרות שגויות, שהיא הגורם העיקרי לרוב הפרצות באבטחה.
מקורות המידע שלנו כוללים:
- תוכנית לניהול יסודות האבטחה בארגון שבה מפורטים החששות העיקריים בנושא אבטחה וההמלצות המובילות שלנו.
תוכניות בסיסיות מאובטחות שמאפשרות לפרוס ולתחזק פתרונות מאובטחים באמצעות תשתית כקוד (IaC). ההמלצות שלנו בנושא אבטחה מופעלות ב-Blueprints כברירת מחדל. תוכניות רבות נוצרות על ידי צוותי האבטחה של Google ומנוהלות כמוצרים. התמיכה הזו אומרת שהם מתעדכנים באופן קבוע, עוברים תהליך בדיקה קפדני ומקבלים אישורים מקבוצות בדיקה של צד שלישי. תוכניות כוללות את התוכנית של יסודות ארגוניים ואת התוכנית של מחסן נתונים מאובטח.
המלצות של Google Cloud Well-Architected Framework לבניית אבטחה בתכנונים שלכם.
מדריכים לניווט באזור הנחיתה שמסבירים את ההחלטות החשובות שצריך לקבל כדי לבנות בסיס מאובטח לעומסי העבודה, כולל היררכיית משאבים, צירוף זהויות, אבטחה וניהול מפתחות ומבנה רשת.
התוכנית להגנה מסיכונים
המודל של אחריות משותפת כולל גם את התוכנית להגנה מסיכונים (בשלב טרום-השקה), שעוזרת לכם להשתמש ביכולות של Google Cloud כפלטפורמה לניהול סיכונים, במקום לראות בעומסי עבודה בענן עוד מקור לסיכון שצריך לנהל. התוכנית להגנה מסיכונים היא שיתוף פעולה בין Google Cloud לבין שתי חברות מובילות בתחום ביטוח הסייבר: Munich Re ו-Allianz Global & Corporate Speciality.
התוכנית להגנה מסיכונים כוללת את Cyber Insurance Hub, שמספק תובנות שמבוססות על נתונים. התובנות האלה יכולות לעזור לכם להבין טוב יותר את מצב האבטחה שלכם בענן. אם אתם מחפשים כיסוי ביטוחי מפני סיכוני סייבר, אתם יכולים לשתף את התובנות האלה ממרכז ביטוח הסייבר ישירות עם חברות הביטוח השותפות שלנו כדי לקבל הצעת מחיר. מידע נוסף זמין במאמר בנושא Google Cloud התוכנית להגנה מסיכונים זמינה עכשיו בגרסת Preview.
עזרה בפריסה ובניהול
גורל משותף עוזר גם בניהול השוטף של הסביבה. לדוגמה, אנחנו מתמקדים במוצרים כמו:
- Assured Workloads, שמאפשר לעמוד בחובות התאימות.
- Security Command Center Premium, שמשתמש במודיעין איומים, בזיהוי איומים, בסריקת אינטרנט ובשיטות מתקדמות אחרות כדי לנטר ולזהות איומים. בנוסף, הוא מספק דרך לפתור במהירות ובאופן אוטומטי הרבה מהאיומים האלה.
- כללי מדיניות של הארגון והגדרות משאבים שמאפשרים להגדיר כללי מדיניות בכל היררכיית התיקיות והפרויקטים.
- כלים לבקרת מדיניות שמספקים תובנות לגבי גישה לחשבונות ולמשאבים.
- Confidential Computing, שמאפשרת להצפין נתונים בשימוש.
- Sovereign Controls by Partners, שזמינים במדינות מסוימות ועוזרים לאכוף את הדרישות בנוגע למיקום הנתונים.
יישום של אחריות משותפת וגורל משותף
כחלק מתהליך התכנון, כדאי לבצע את הפעולות הבאות כדי להבין את אמצעי האבטחה המתאימים ולהטמיע אותם:
- יוצרים רשימה של סוגי עומסי העבודה שרוצים לארח ב-Google Cloud, ומציינים אם הם דורשים שירותי IaaS, PaaS ו-SaaS. אתם יכולים להשתמש בתרשים האחריות המשותפת כרשימת משימות כדי לוודא שאתם מכירים את אמצעי הבקרה לאבטחה שאתם צריכים לקחת בחשבון.
- יוצרים רשימה של דרישות רגולטוריות שאתם צריכים לעמוד בהן, וניגשים למשאבים במרכז המשאבים בנושא תאימות שקשורים לדרישות האלה.
- במרכז הארכיטקטורה תוכלו לעיין ברשימה של תוכניות וארכיטקטורות זמינות כדי למצוא את אמצעי הבקרה לאבטחה שאתם צריכים בשביל עומסי העבודה הספציפיים שלכם. התוכניות מספקות רשימה של אמצעי בקרה מומלצים וקוד IaC שנדרש לפריסת הארכיטקטורה הזו.
- כדי לעצב היררכיית משאבים וארכיטקטורת רשת שעונות על הדרישות שלכם, תוכלו להיעזר במסמכי ההסבר על אזור הנחיתה ובהמלצות שבמדריך הבסיס לארגונים. כדי להאיץ את תהליך הפיתוח, אפשר להשתמש בתוכניות מפורטות של עומסי עבודה, כמו מחסן נתונים מאובטח.
- אחרי שפורסים את עומסי העבודה, צריך לוודא שאתם עומדים באחריות שלכם לאבטחה באמצעות שירותים כמו Cyber Insurance Hub, Assured Workloads, כלים לבקרת מדיניות ו-Security Command Center Premium.
מידע נוסף זמין במאמר בנושא המדריך של מנהל אבטחת המידע (CISO) למעבר לענן.
המאמרים הבאים
- כדאי לעיין בעקרונות האבטחה המרכזיים.
- חשוב להתעדכן במשאבים בנושא גורל משותף.
- כדאי לעיין בתוכניות שזמינות, כולל התוכנית לניהול יסודות האבטחה ודוגמאות לעומסי עבודה כמו מחסן נתונים מאובטח.
- מידע נוסף על גורל משותף
- במאמר סקירה כללית על תכנון האבטחה בתשתית של Google תוכלו לקרוא על התשתית הבסיסית המאובטחת שלנו.
- כאן Google Cloud (PDF) אפשר לקרוא איך מטמיעים שיטות מומלצות של NIST Cybersecurity Framework.