במאמר הזה נסביר את ההבדלים בין מודל האחריות המשותפת לבין מודל השותפות ההדוקה ב- Google Cloud. במאמר מפורטים האתגרים והניואנסים של מודל האחריות המשותפת. במאמר הזה נסביר מהו שת"פ הדוק ואיך אנחנו משתפים פעולה עם הלקוחות שלנו כדי להתמודד עם אתגרי האבטחה בענן.
חשוב להבין את מודל האחריות המשותפת כדי לקבוע איך להגן בצורה הטובה ביותר על הנתונים ועומסי העבודה שלכם ב- Google Cloud. מודל האחריות המשותפת מתאר את המשימות שלכם בכל הקשור לאבטחה בענן, ואת ההבדלים בין המשימות האלה לבין המשימות של ספקי שירותי הענן.
עם זאת, הבנת האחריות המשותפת יכולה להיות מאתגרת. המודל דורש הבנה מעמיקה של כל שירות שבו אתם משתמשים, של אפשרויות ההגדרה שכל שירות מספק ושל הפעולות ש- Google Cloudמבצעת כדי לאבטח את השירות. לכל שירות יש פרופיל הגדרות שונה, ויכול להיות שיהיה קשה לקבוע מהן הגדרות האבטחה הכי טובות. אנחנו ב-Google מאמינים שמודל האחריות המשותפת לא מספיק כדי לעזור ללקוחות הענן להשיג תוצאות אבטחה טובות יותר. במקום אחריות משותפת, אנחנו מאמינים בשת"פ הדוק.
שת"פ הדוק כולל את הפיתוח וההפעלה של פלטפורמת ענן מהימנה לעומסי העבודה שלכם. אנחנו מספקים הנחיות לשיטות מומלצות וקוד תשתית מאובטח ומאומת, שבעזרתם תוכלו לפרוס את עומסי העבודה שלכם בצורה מאובטחת. אנחנו משיקים פתרונות שמשלבים שירותים שונים של Google Cloud כדי לפתור בעיות אבטחה מורכבות, ומציעים אפשרויות ביטוח חדשניות שיעזרו לכם למדוד ולצמצם את הסיכונים שאתם חייבים לקבל. במסגרת השת"פ ההדוק, אנחנו מקיימים איתכם אינטראקציה קרובה יותר בזמן שאתם מאבטחים את המשאבים שלכם ב-Google Cloud.
אחריות משותפת
אתם המומחים שמכירים את דרישות האבטחה והרגולציה של העסק שלכם, ואת הדרישות להגנה על הנתונים והמשאבים הסודיים שלכם. כשמריצים את עומסי העבודה ב- Google Cloud, צריך לזהות את אמצעי האבטחה שצריך להגדיר ב- Google Cloud כדי להגן על המידע הסודי ועל כל עומס עבודה. כדי להחליט אילו אמצעי אבטחה להטמיע, צריך להביא בחשבון את הגורמים הבאים:
- המחויבויות שלכם לעמידה בתקנות
- תקני האבטחה ותוכנית ניהול הסיכונים של הארגון
- דרישות האבטחה של הלקוחות והספקים שלכם
מוגדר לפי עומסי עבודה (workloads)
באופן מסורתי, תחומי האחריות מוגדרים על סמך סוג עומס העבודה שאתם מריצים ושירותי הענן שאתם צריכים. שירותי הענן כוללים את הקטגוריות הבאות:
| שירות בענן | תיאור |
|---|---|
| תשתית כשירות (IaaS) | שירותי IaaS כוללים את Compute Engine, Cloud Storage ושירותי רשת כמו Cloud VPN, Cloud Load Balancing ו-Cloud DNS.
ב-IaaS הלקוחות מקבלים שירותי מחשוב, אחסון ורשתות לפי דרישה, ומשלמים רק על מה שהם צורכים. אתם יכולים להשתמש ב-IaaS אם אתם מתכננים להעביר עומס עבודה קיים מקומי לענן באמצעות שיטת Lift-and-shift (העברה בלי שינויים), או אם אתם רוצים להריץ את האפליקציה במכונות וירטואליות מסוימות, באמצעות מסדי נתונים או הגדרות רשת ספציפיים. ב-IaaS, רוב האחריות על האבטחה היא שלכם, והאחריות שלנו מתמקדת בתשתית הבסיסית ובאבטחה הפיזית. |
| פלטפורמה כשירות (PaaS) | שירותי PaaS כוללים את App Engine, Google Kubernetes Engine (GKE) ו-BigQuery.
ב-PaaS אתם מקבלים סביבת זמן ריצה שבה אתם יכולים לפתח ולהריץ את האפליקציות שלכם. אתם יכולים להשתמש ב-PaaS אם אתם מפתחים אפליקציה (כמו אתר) ורוצים להתמקד בפיתוח ולא בתשתית הבסיסית. ב-PaaS, אנחנו אחראים על יותר אמצעי בקרה מאשר ב-IaaS. בדרך כלל, זה משתנה בהתאם לשירותים ולתכונות שבהם אתם משתמשים. האחריות על אמצעי הבקרה ברמת האפליקציה ועל ניהול הזהויות והרשאות הגישה (IAM) היא משותפת. אתם עדיין אחראים לאבטחת מידע ולהגנה על הלקוחות. |
| תוכנה כשירות (SaaS) | אפליקציות SaaS כוללות את Google Workspace, את Google Security Operations ואפליקציות SaaS של צד שלישי שזמינות ב-Google Cloud Marketplace.
SaaS מספק אפליקציות אונליין שאפשר להירשם אליהן או לשלם עליהן בדרך כלשהי. אתם יכולים להשתמש באפליקציות SaaS כשלארגון שלכם אין את המומחיות הפנימית או את הדרישה העסקית לבנות את האפליקציה בעצמו, אבל הוא צריך את היכולת לעבד עומסי עבודה. ב-SaaS, רוב תחומי האחריות על האבטחה הם שלנו. אתם עדיין אחראים על אמצעי בקרת הגישה ועל הנתונים שאתם בוחרים לאחסן באפליקציה. |
| פונקציה כשירות (FaaS) או בלי שרת (serverless) | FaaS מספק למפתחים פלטפורמה להרצת קוד קטן למטרה אחת (שנקרא פונקציות) שפועל בתגובה לאירועים מסוימים. משתמשים ב-FaaS כשרוצים שדברים מסוימים יקרו על סמך אירוע מסוים. לדוגמה, אפשר ליצור פונקציה שפועלת בכל פעם שמעלים נתונים ל-Cloud Storage, כדי לסווג אותם. ל-FaaS יש רשימת אחריות משותפת דומה לזו של SaaS. פונקציות Cloud Run הן אפליקציית FaaS. |
בתרשים הבא מוצגים שירותי הענן ומוגדרת חלוקת האחריות בין ספק שירותי הענן לבין הלקוח.
כפי שמוצג בתרשים, ספק שירותי הענן תמיד אחראי לרשת ולתשתית הבסיסית, והלקוחות תמיד אחראים למדיניות הגישה ולנתונים שלהם.
מוגדרת לפי התחום והמסגרת הרגולטורית
בתעשיות שונות יש מסגרות רגולטוריות שמגדירות את אמצעי האבטחה שצריך להפעיל. כשמעבירים את עומסי העבודה לענן, חשוב להבין את הדברים הבאים:
- אילו אמצעי אבטחה נמצאים באחריותכם
- אילו אמצעי אבטחה זמינים כחלק מהשירות בענן
- אילו אמצעי אבטחה מוגדרים כברירת מחדל ומועברים בירושה
אמצעי בקרה לאבטחה שעוברים בירושה (כמו הצפנת ברירת המחדל ואמצעי הבקרה לתשתית) הם אמצעי בקרה שאתם יכולים לספק למבקרים ולרגולטורים כחלק מההוכחות למצב האבטחה שלכם. לדוגמה, תקן אבטחת הנתונים המקובל בתעשיית כרטיסי תשלום (PCI DSS) מגדיר תקנות לספקי שירותי תשלומים. כשמעבירים את העסק לענן, התקנות האלה חלות גם עליכם וגם על ספק שירותי הענן. כדי להבין איך האחריות על PCI DSS מתחלקת ביניכם לביןGoogle Cloud, קראו את המאמר Google Cloud: מטריצת האחריות המשותפת של PCI DSS.
דוגמה נוספת: בארצות הברית, חוק היבילות ואחריות הדיווח של ביטוח בריאות (HIPAA) קובע תקנים לטיפול במידע רפואי אישי (PHI) אלקטרוני. גם תחומי האחריות האלה משותפים לכם ולספק שירותי הענן. מידע נוסף על האופן שבו Google Cloud עומד באחריות שלנו במסגרת HIPAA זמין במאמר HIPAA – תאימות.
גם בתעשיות אחרות (למשל, פיננסים או ייצור) יש תקנות שמגדירות איך אפשר לאסוף, לעבד ולאחסן נתונים. ב-Compliance resource center מוסבר בהרחבה על האחריות המשותפת שקשורה לנושאים האלה, ואיךGoogle Cloud עומדת באחריות שלה.
מוגדר לפי מיקום
בהתאם לתרחיש העסקי, יכול להיות שתצטרכו להביא בחשבון את תחומי האחריות שלכם על סמך המיקום של משרדי העסק, הלקוחות והנתונים שלכם. במדינות ובאזורים שונים יש תקנות שונות לגבי עיבוד ואחסון של נתוני לקוחות. לדוגמה, אם לעסק שלכם יש לקוחות שמתגוררים באיחוד האירופי, יכול להיות שהעסק צריך לעמוד בדרישות שמתוארות ב-General Data Protection Regulation (התקנות הכלליות להגנה על מידע, GDPR), ויכול להיות שאתם מחויבים לשמור את נתוני הלקוחות באיחוד האירופי עצמו. במקרה כזה, אתם אחראים לוודא שהנתונים שאתם אוספים נשארים בGoogle Cloud אזורים באיחוד האירופי. למידע נוסף על האופן שבו אנחנו עומדים בהתחייבויות שלנו בנושא GDPR, קראו את המאמר GDPR ו- Google Cloud.
למידע על הדרישות שקשורות לאזור שלכם, קראו את המאמר הצעות לשמירה על תאימות. אם התרחיש שלכם מורכב במיוחד, מומלץ לדבר עם צוות המכירות או עם אחד מהשותפים שלנו כדי להעריך את תחומי האחריות שלכם בנושא אבטחה.
אתגרים באחריות המשותפת
למרות שהאחריות המשותפת עוזרת להגדיר את תפקידי האבטחה שלכם או של ספק שירותי הענן, ההסתמכות על אחריות משותפת עדיין יכולה ליצור אתגרים. לצורך המחשה, נבחן את התרחישים הבאים:
- הרבה פרצות אבטחה בענן הן תוצאה ישירה של הגדרה שגויה. מוצרי הענן משתנים כל הזמן, ומוצרים חדשים מושקים כל הזמן. ההתמודדות עם השינויים התכופים יכולה להיות מאתגרת. הלקוחות צריכים שספקי שירותי הענן יספקו להם שיטות מומלצות מוגדרות מראש כדי לעמוד בקצב השינויים, החל משיטות מומלצות כברירת מחדל ועד להגדרת אבטחה בסיסית.
- למרות שחלוקת הפריטים לפי שירותי ענן היא שימושית, לארגונים רבים יש עומסי עבודה שדורשים כמה סוגים של שירותי ענן. במצב כזה, צריך להביא בחשבון את האינטראקציה בין אמצעי הבקרה השונים של אבטחת השירותים האלה, כולל אם יש חפיפה בין השירותים. לדוגמה, יכול להיות שיש לכם אפליקציה מקומית שאתם מעבירים ל-Compute Engine, אתם משתמשים ב-Google Workspace לאימייל הארגוני, וגם מריצים את BigQuery כדי לנתח נתונים ולשפר את המוצרים שלכם.
- העסק והשווקים שלכם משתנים כל הזמן, למשל כשהתקנות משתנות, כשאתם נכנסים לשווקים חדשים או כשאתם רוכשים חברות אחרות. יכול להיות שבשווקים החדשים יהיו דרישות שונות, ושהחברה החדשה שרכשתם מארחת את עומסי העבודה שלה בענן אחר. כדי להתמודד עם השינויים התמידיים, צריך להעריך מחדש את פרופיל הסיכון באופן קבוע ולהיות מסוגלים להטמיע אמצעי בקרה חדשים במהירות.
- ההחלטה איך ואיפה לנהל את מפתחות ההצפנה של הנתונים היא החלטה חשובה שקשורה לאחריות שלכם להגן על הנתונים. האפשרות שתבחרו תלויה בדרישות הרגולטוריות, בסביבה שבה אתם משתמשים (סביבת ענן היברידית או סביבה מקומית) וברגישות של הנתונים שאתם מעבדים ומאחסנים.
- ניהול אירועים הוא תחום חשוב, שלעיתים קרובות מתעלמים ממנו, שבו תחומי האחריות שלכם ושל ספק שירותי הענן לא מוגדרים בקלות. במקרים רבים, כדי לחקור אירועים ולצמצם את ההשפעה שלהם, נדרש שיתוף פעולה הדוק ותמיכה מצד ספק שירותי הענן. אירועים אחרים יכולים להיגרם מהגדרה לא נכונה של משאבי הענן או מגניבת פרטי כניסה, וקשה מאוד לוודא שאתם עומדים בשיטות המומלצות לאבטחת המשאבים והחשבונות שלכם.
- תקיפות סייבר מתמשכות (APT) ונקודות חולשה חדשות יכולות להשפיע על עומסי העבודה בדרכים שאולי לא חשבתם עליהן כשהתחלתם את המעבר לענן. קשה להתעדכן כל הזמן בשינויים בתחום, ולדעת מי אחראי על צמצום האיומים, במיוחד אם אין בעסק צוות אבטחה גדול.
שת"פ הדוק
פיתחנו את מודל השת"פ ההדוק ב- Google Cloud כדי להתחיל לטפל באתגרים שמודל האחריות המשותפת לא מטפל בהם. במודל של שת"פ הדוק, כל הצדדים פועלים יחד כדי לשפר את האבטחה באופן רציף. המודל "גורל משותף" מבוסס על מודל האחריות המשותפת, כי הוא רואה את הקשר בין ספק שירותי הענן ללקוח כשותפות מתמשכת לשיפור האבטחה.
במסגרת שת"פ הדוק, אנחנו לוקחים אחריות על אבטחת Google Cloud. המודל כולל עזרה בהתחלת העבודה עם אזור נחיתה מאובטח, ומתן מידע ברור, מפורט ושקוף לגבי אמצעי הבקרה, ההגדרות והשיטות המומלצות לאבטחה. אנחנו עוזרים לכם לכמת ולנהל את הסיכונים בצורה טובה יותר באמצעות ביטוח סייבר, במסגרת התוכנית להגנה מסיכונים. אנחנו רוצים להשתמש בשת"פ הדוק כדי לעבור ממסגרת האחריות המשותפת הרגילה למודל טוב יותר, שיעזור לכם לאבטח את העסק ולבנות אמון ב- Google Cloud.
בקטעים הבאים מתוארים רכיבים שונים של שת"פ הדוק.
עזרה בתחילת העבודה
רכיב מרכזי בשת"פ הדוק הוא המשאבים שאנחנו מספקים כדי לעזור לכם להתחיל לעבוד בהגדרה מאובטחת ב- Google Cloud. אם מתחילים עם הגדרה מאובטחת, אפשר לצמצם את הבעיה של הגדרות שגויות, שהן הגורם העיקרי לרוב פרצות האבטחה.
מקורות המידע שלנו כוללים את:
- תוכנית יסודות לארגונים, שבה מפורטים נושאי האבטחה העיקריים וההמלצות המובילות שלנו.
תבניות מאובטחות שמאפשרות לפרוס ולתחזק פתרונות מאובטחים באמצעות תשתית כקוד (IaC). ההמלצות שלנו בנושא אבטחה מופעלות כברירת מחדל בתבניות. הרבה מהמארזים נוצרו על ידי צוותי האבטחה של Google ומנוהלים כמוצרים. התמיכה הזו כוללת עדכונים שוטפים, תהליך בדיקה קפדני ואישורים מקבוצות בדיקה של צד שלישי. התוכניות כוללות את התוכנית ליסודות הארגון ואת התוכנית למחסן נתונים מאובטח.
המלצות של Google Cloud Well-Architected Framework להטמעת אבטחה בעיצובים.
מדריכי ניווט באזורי נחיתה שמפרטים את ההחלטות החשובות ביותר שצריך לקבל כדי לבנות בסיס מאובטח לעומסי העבודה, כולל היררכיית משאבים, הוספת זהויות, אבטחה וניהול מפתחות ומבנה הרשת.
התוכנית להגנה מסיכונים
המודל כולל גם את התוכנית להגנה מסיכונים, שעוזרת לכם להשתמש ב- Google Cloud כפלטפורמה לניהול סיכונים, במקום להתייחס לעומסי העבודה בענן כעוד מקור לסיכונים שצריך לנהל. התוכנית להגנה מסיכונים היא שיתוף פעולה בין Google Cloud לבין שתי חברות מובילות בתחום ביטוח הסייבר: Munich Re ו-Allianz Global & Corporate Speciality.
התוכנית להגנה מסיכונים כוללת את Cyber Insurance Hub, שמספק תובנות שמבוססות על נתונים. אתם יכולים להשתמש בתובנות האלה כדי להבין טוב יותר את מצב האבטחה שלכם בענן. אם אתם מחפשים כיסוי ביטוחי לסייבר, אתם יכולים לשתף את התובנות האלה מ-Cyber Insurance Hub ישירות עם חברות הביטוח השותפות שלנו כדי לקבל הצעת מחיר.
עזרה בפריסה ובפיקוח
המודל של שותפות גורל עוזר גם בניהול השוטף של הסביבה שלכם. לדוגמה, אנחנו מתמקדים במוצרים כמו:
- Assured Workloads, שעוזר לכם לעמוד בדרישות התאימות.
- Security Command Center Premium, שמשתמש במודיעין איומי סייבר, בזיהוי איומים, בסריקת אינטרנט ובשיטות מתקדמות אחרות כדי לעקוב אחרי איומים ולזהות אותם. הוא גם מספק דרך לפתור הרבה מהאיומים האלה במהירות ובאופן אוטומטי.
- כללי מדיניות של הארגון והגדרות משאבים שמאפשרים להגדיר כללי מדיניות בכל היררכיית התיקיות והפרויקטים.
- כלים לבקרת מדיניות שמספקים תובנות לגבי הגישה לחשבונות ולמשאבים.
- Confidential Computing, שמאפשר להצפין נתונים בשימוש.
- Sovereign Controls by Partners, שזמין במדינות מסוימות ועוזר לאכוף את הדרישות לגבי מיקום אחסון הנתונים.
יישום בפועל של אחריות משותפת ושת"פ הדוק
כחלק מתהליך התכנון, כדאי לבצע את הפעולות הבאות כדי להבין ולהטמיע אמצעי אבטחה מתאימים:
- צרו רשימה של סוגי עומסי העבודה שתארחו ב-Google Cloud, וציינו אם הם דורשים שירותי IaaS, PaaS ו-SaaS. אתם יכולים להשתמש בתרשים האחריות המשותפת כרשימת משימות, כדי לוודא שאתם מכירים את אמצעי הבקרה לאבטחה שצריך להביא בחשבון.
- צרו רשימה של דרישות רגולטוריות שאתם צריכים לעמוד בהן, וגשו למשאבים בCompliance resource center שקשורים לדרישות האלה.
- ב-מרכז הארכיטקטורה תוכלו לעיין ברשימה של תוכניות וארכיטקטורות זמינות, כדי לבחור את אמצעי הבקרה שמתאימים לעומסי העבודה הספציפיים שלכם. התבניות כוללות רשימה של אמצעי בקרה מומלצים וקוד IaC שנדרש כדי לפרוס את הארכיטקטורה הזו.
- כדי לתכנן היררכיית משאבים וארכיטקטורת רשת שעומדות בדרישות שלכם, אתם יכולים להיעזר במסמכי התיעוד של אזור הנחיתה ובהמלצות שבמדריך היסודות לארגונים. כדי להאיץ את תהליך הפיתוח, אתם יכולים להשתמש בתבניות המומלצות של עומסי עבודה, כמו מחסן נתונים מאובטח.
- אחרי שפורסים את עומסי העבודה, מוודאים שאתם עומדים באחריות שלכם לאבטחה באמצעות שירותים כמו Cyber Insurance Hub, Assured Workloads, כלים לבקרת מדיניות ו-Security Command Center Premium.
למידע נוסף, קראו את המאמר מדריך למנהלי אבטחת מידע (CISO) בנושא טרנספורמציה לענן.
המאמרים הבאים
- עקרונות האבטחה העיקריים
- כדאי להכיר את התוכניות הזמינות, כולל התוכנית לניהול יסודות האבטחה ודוגמאות לעומסי עבודה כמו מחסן הנתונים המאובטח.
- מידע נוסף על שת"פ הדוק
- סקירה כללית על תכנון האבטחה בתשתית של Google
- בודקים את Google Cloud אמצעי הבקרה שתואמים לדרישות של NIST Cybersecurity Framework.