Shared Responsibility Model (Microsoft Azure)

Что всегда ваше, что всегда поставщика, и что меняется в зависимости от модели обслуживания.

Модель общей ответственности — основа всей облачной безопасности: поставщик отвечает за безопасность облака (Security OF the cloud), а клиент отвечает за безопасность В облаке (Security IN the cloud).

Таблица: строки — зоны ответственности, столбцы — SaaS, PaaS, IaaS и On-prem. Верхние три строки (данные, устройства, учётные записи и личности) всегда на клиенте во всех моделях. В середине ответственность меняется: каталог и identity, приложения, сетевые контроли и ОС — общие или провайдера в SaaS/PaaS и клиента в IaaS. Внизу физические хосты, сеть и ЦОД — всегда на провайдере в облаке и на клиенте только в On-prem.

Коротко и понятно

Провайдер отвечает за безопасность самого облака, клиент — за безопасность внутри облака.
Всегда твоё: данные, устройства, учётные записи и личности — при любой модели сервиса.
Меняется по модели: обновления ОС, настройка приложения и сетевые ограничения.
Всегда провайдера: физический ЦОД, физическая сеть и гипервизоры.

Пример из практикиХранилище оставили открытым в интернет — Azure выполнил свою часть, но утечка на клиенте: это его настройка.

Всегда ответственность клиента

Information and data — информация, файлы и настройки общего доступа.
Devices — телефоны и компьютеры, подключающиеся к сервису.
Accounts and identities — учетные записи, разрешения и контроль доступа.

Ответственность меняется в зависимости от модели обслуживания

Identity and directory infrastructure — локальный против Entra ID.
Application logic & configuration — логика приложения и его конфигурация.
Network controls — NSG, Firewall, .
Operating System patching — ответственность клиента в IaaS, ответственность поставщика в PaaS.

Всегда ответственность поставщика

Физическая безопасность Datacenter, электричество и охлаждение.
Физическая сеть и оптоволокно.
Физические серверы и Hypervisors.