Het gedeelde verantwoordelijkheidsmodel uitgelegd

Een veelgehoord misverstand is dat de cloudaanbieder de volledige beveiliging regelt. In werkelijkheid is beveiliging een gedeelde taak. De aanbieder beschermt de onderliggende infrastructuur, terwijl de afnemer verantwoordelijk blijft voor de eigen data, toegang en configuratie. Dat principe heet het gedeelde verantwoordelijkheidsmodel.

Wat de aanbieder doet

De aanbieder zorgt voor de beveiliging van de fysieke datacenters, de netwerken en de basisinfrastructuur waarop de diensten draaien. Denk aan toegangscontrole tot de gebouwen, redundante voeding, patches op het onderliggende platform en bescherming tegen grootschalige aanvallen. Dat deel onttrekt zich aan het zicht van de afnemer en wordt door de aanbieder gegarandeerd.

Wat bij de afnemer blijft

Alles wat de afnemer in de cloud zet en instelt, blijft diens eigen verantwoordelijkheid. Dat omvat de data zelf, de toegangsrechten van gebruikers, de configuratie van diensten en de naleving van wetgeving zoals de AVG. Een verkeerd ingestelde opslaglocatie of een te ruim toegekende toegangsrechten valt niet onder de aanbieder, maar onder de afnemer.

Waar het misgaat

De meeste incidenten in de cloud ontstaan niet door een fout van de aanbieder, maar door een verkeerde configuratie aan de kant van de afnemer. Een opslaglocatie die per ongeluk openbaar staat, een account zonder tweestapsverificatie of een dienst die na een test aan blijft staan, vormen bekende oorzaken. Het model verschuift die verantwoordelijkheid niet, het maakt hem alleen expliciet.

De verdeling per model

Waar precies de grens ligt, hangt af van het gekozen model. Bij infrastructuur als dienst blijft er meer bij de afnemer, bij software als dienst neemt de aanbieder een groter deel over. Een helder beeld van die grens per dienst voorkomt aannames waarin niemand zich verantwoordelijk voelt. Meer over die modellen staat op de pagina over cloudmodellen.

Beveiliging als afspraak

Het gedeelde verantwoordelijkheidsmodel werkt alleen als beide kanten hun deel kennen. Een organisatie die vastlegt welke taken bij welke partij liggen, en die verdeling periodiek controleert, sluit de gaten die anders onopgemerkt blijven.