Model tanggung jawab bersama di cloud: siapa menjaga apa?
Penyedia cloud mengamankan infrastrukturnya. Data, akses, dan konfigurasi tetap menjadi urusan Anda.
Penyedia mengamankan cloud-nya; pelanggan mengamankan apa yang ditaruh di dalamnya.
Batas tanggung jawab bergeser menurut jenis layanan: IaaS, PaaS, atau SaaS.
Data, identitas, dan konfigurasi akses selalu menjadi tanggung jawab pelanggan.
Sebagian besar insiden cloud berasal dari sisi pelanggan, bukan penyedia.
Batas tanggung jawab bergeser menurut jenis layanan: IaaS, PaaS, atau SaaS.
Data, identitas, dan konfigurasi akses selalu menjadi tanggung jawab pelanggan.
Sebagian besar insiden cloud berasal dari sisi pelanggan, bukan penyedia.
Memindahkan sistem ke cloud tidak memindahkan seluruh tanggung jawab keamanan. Setiap penyedia besar menerbitkan shared responsibility model yang menjelaskan pembagiannya. Salah memahami pembagian ini adalah sumber banyak kebocoran data.
Pembagian menurut jenis layanan
| Lapisan | IaaS | PaaS | SaaS |
|---|---|---|---|
| Data dan klasifikasinya | Pelanggan | Pelanggan | Pelanggan |
| Akun dan hak akses | Pelanggan | Pelanggan | Pelanggan |
| Aplikasi | Pelanggan | Pelanggan | Penyedia |
| Sistem operasi dan patch | Pelanggan | Penyedia | Penyedia |
| Jaringan virtual dan firewall | Pelanggan | Bersama | Penyedia |
| Server fisik dan pusat data | Penyedia | Penyedia | Penyedia |
Rinciannya berbeda antarpenyedia dan antarlayanan. Baca dokumen resmi penyedia untuk tiap layanan yang dipakai.
Yang selalu di tangan pelanggan
- Data. Apa yang disimpan, siapa yang boleh melihat, apakah dienkripsi, dan berapa lama disimpan.
- Identitas. Siapa punya akun, hak apa yang diberikan, dan apakah MFA aktif.
- Konfigurasi. Penyimpanan yang terbuka untuk publik dan port admin yang terbuka ke internet adalah pilihan konfigurasi, bukan kesalahan penyedia.
- Backup data SaaS. Ketersediaan layanan dijamin penyedia; pemulihan data yang terhapus oleh pengguna sering kali tidak.
Pertanyaan untuk penyedia
- Di wilayah mana data disimpan, dan bisakah lokasinya dipilih?
- Sertifikasi dan laporan audit apa yang tersedia, misalnya ISO 27001 atau SOC 2?
- Log apa yang bisa diakses pelanggan, dan berapa lama disimpan?
- Bagaimana dan seberapa cepat pelanggan diberi tahu bila terjadi insiden?
- Bagaimana data dikembalikan dan dihapus saat kontrak berakhir?
Langkah praktis
Untuk setiap layanan cloud yang dipakai, tulis satu halaman: data apa yang ada di sana, siapa adminnya, kontrol apa yang menjadi bagian Anda, dan siapa yang memeriksanya. Dokumen sederhana ini juga berguna saat audit dan saat memenuhi kewajiban perlindungan data pribadi.