במאמר הזה נסביר על ההבדלים בין מודל האחריות המשותפת לבין מודל הגורל המשותף ב- Google Cloud. הוא דן באתגרים ובניואנסים של מודל האחריות המשותפת. במאמר הזה נסביר מהו שת"פ הדוק ואיך אנחנו משתפים פעולה עם הלקוחות שלנו כדי להתמודד עם אתגרי האבטחה בענן.
חשוב להבין את מודל האחריות המשותפת כדי לקבוע איך להגן בצורה הטובה ביותר על הנתונים ועומסי העבודה שלכם ב- Google Cloud. מודל האחריות המשותפת מתאר את המשימות שלכם בכל הקשור לאבטחה בענן, ואת ההבדלים בין המשימות האלה לבין המשימות של ספקי שירותי הענן.
עם זאת, הבנת האחריות המשותפת יכולה להיות מאתגרת. המודל דורש הבנה מעמיקה של כל שירות שבו אתם משתמשים, של אפשרויות ההגדרה שכל שירות מספק ושל הפעולות ש- Google Cloudמבצע כדי לאבטח את השירות. לכל שירות יש פרופיל הגדרות שונה, ויכול להיות שיהיה קשה לקבוע מהי הגדרת האבטחה הכי טובה. אנחנו ב-Google מאמינים שמודל האחריות המשותפת לא מספיק כדי לעזור ללקוחות הענן להשיג תוצאות אבטחה טובות יותר. במקום אחריות משותפת, אנחנו מאמינים בגורל משותף.
גורל משותף כולל את הפיתוח וההפעלה של פלטפורמת ענן מהימנה לעומסי העבודה שלכם. אנחנו מספקים הנחיות לשיטות מומלצות וקוד תשתית מאובטח ומאומת, שבעזרתם תוכלו לפרוס את עומסי העבודה שלכם בצורה מאובטחת. אנחנו משיקים פתרונות שמשלבים שירותים שונים של Google Cloud כדי לפתור בעיות אבטחה מורכבות, ומציעים אפשרויות ביטוח חדשניות שיעזרו לכם למדוד ולצמצם את הסיכונים שאתם חייבים לקבל. במסגרת השותפות, אנחנו מקיימים איתכם אינטראקציה הדוקה יותר כדי לעזור לכם לאבטח את המשאבים שלכם ב-Google Cloud.
אחריות משותפת
אתם המומחים שמכירים את דרישות האבטחה והרגולציה של העסק שלכם, ואת הדרישות להגנה על הנתונים והמשאבים הסודיים שלכם. כשמריצים את עומסי העבודה ב- Google Cloud, צריך לזהות את אמצעי האבטחה שצריך להגדיר ב- Google Cloud כדי להגן על המידע הסודי ועל כל עומס עבודה. כדי להחליט אילו אמצעי אבטחה להטמיע, צריך להביא בחשבון את הגורמים הבאים:
- המחויבויות שלכם לעמידה בתקנות
- תקני האבטחה ותוכנית ניהול הסיכונים של הארגון
- דרישות האבטחה של הלקוחות והספקים שלכם
מוגדר לפי עומסי עבודה (workloads)
באופן מסורתי, תחומי האחריות מוגדרים על סמך סוג עומס העבודה שאתם מריצים ושירותי הענן שאתם צריכים. שירותי הענן כוללים את הקטגוריות הבאות:
| שירות בענן | תיאור |
|---|---|
| תשתית כשירות (IaaS) | שירותי IaaS כוללים את Compute Engine, Cloud Storage ושירותי רשת כמו Cloud VPN, Cloud Load Balancing ו-Cloud DNS.
ב-IaaS הלקוחות מקבלים שירותי מחשוב, אחסון ורשתות לפי דרישה, ומשלמים רק על מה שהם צורכים. אפשר להשתמש ב-IaaS אם אתם מתכננים להעביר לענן עומס עבודה קיים בארגון באמצעות שיטת Lift-and-shift (העברה בלי שינויים), או אם אתם רוצים להריץ את האפליקציה במכונות וירטואליות מסוימות, באמצעות מסדי נתונים או הגדרות רשת ספציפיים. ב-IaaS, רוב האחריות על האבטחה היא שלכם, והאחריות שלנו מתמקדת בתשתית הבסיסית ובאבטחה הפיזית. |
| פלטפורמה כשירות (PaaS) | שירותי PaaS כוללים את App Engine, Google Kubernetes Engine (GKE) ו-BigQuery.
ב-PaaS מקבלים סביבה לזמן ריצה שבה אפשר לפתח ולהריץ את האפליקציות. אתם יכולים להשתמש ב-PaaS אם אתם מפתחים אפליקציה (כמו אתר) ורוצים להתמקד בפיתוח ולא בתשתית הבסיסית. ב-PaaS, אנחנו אחראים על יותר אמצעי בקרה מאשר ב-IaaS. בדרך כלל, זה משתנה בהתאם לשירותים ולתכונות שבהם אתם משתמשים. האחריות על אמצעי הבקרה ברמת האפליקציה ועל ניהול הזהויות והרשאות הגישה (IAM) היא משותפת. אתם עדיין אחראים לאבטחת מידע ולהגנה על הלקוחות. |
| תוכנה כשירות (SaaS) | אפליקציות SaaS כוללות את Google Workspace, את Google Security Operations ואפליקציות SaaS של צד שלישי שזמינות ב-Google Cloud Marketplace.
SaaS מספק אפליקציות אונליין שאפשר להירשם אליהן או לשלם עליהן בדרך כלשהי. אתם יכולים להשתמש באפליקציות SaaS כשלארגון שלכם אין את המומחיות הפנימית או את הדרישה העסקית לבנות את האפליקציה בעצמו, אבל הוא צריך את היכולת לעבד עומסי עבודה. ב-SaaS, רוב תחומי האחריות על האבטחה הם שלנו. אתם עדיין אחראים על אמצעי בקרת הגישה ועל הנתונים שאתם בוחרים לאחסן באפליקציה. |
| פונקציה כשירות (FaaS) או בלי שרת (serverless) | FaaS מספק למפתחים פלטפורמה להרצת קוד קטן למטרה יחידה (שנקרא פונקציות) שפועל בתגובה לאירועים מסוימים. משתמשים ב-FaaS כשרוצים שדברים מסוימים יקרו על סמך אירוע מסוים. לדוגמה, אתם יכולים ליצור פונקציה שפועלת בכל פעם שנתונים מועלים ל-Cloud Storage, כדי לסווג אותם. ל-FaaS יש רשימת אחריות משותפת דומה לזו של SaaS. פונקציות Cloud Run הן אפליקציית FaaS. |
בתרשים הבא מוצגים שירותי הענן ומוגדרת חלוקת האחריות בין ספק שירותי הענן לבין הלקוח.
כפי שמוצג בתרשים, ספק שירותי הענן תמיד אחראי לרשת ולתשתית הבסיסית, והלקוחות תמיד אחראים למדיניות הגישה ולנתונים שלהם.
מוגדרת לפי התחום והמסגרת הרגולטורית
בתעשיות שונות יש מסגרות רגולטוריות שמגדירות את אמצעי האבטחה שצריך להפעיל. כשמעבירים את עומסי העבודה לענן, חשוב להבין את הדברים הבאים:
- אילו אמצעי אבטחה נמצאים באחריותכם
- אילו אמצעי אבטחה זמינים כחלק מהשירות בענן
- אילו אמצעי בקרה שמוגדרים כברירת מחדל עוברים בירושה
אמצעי בקרה לאבטחה שעוברים בירושה (כמו הצפנת ברירת המחדל ואמצעי הבקרה לתשתית) הם אמצעי בקרה שאתם יכולים לספק למבקרים ולרגולטורים כחלק מההוכחות למצב האבטחה שלכם. לדוגמה, תקן אבטחת הנתונים המקובל בתעשיית כרטיסי תשלום (PCI DSS) מגדיר תקנות לחברות לעיבוד תשלומים. כשמעבירים את העסק לענן, התקנות האלה חלות גם עליכם וגם על ספק שירותי הענן. כדי להבין איך האחריות על PCI DSS מתחלקת ביניכם לביןGoogle Cloud, קראו את המאמר Google Cloud: מטריצת האחריות המשותפת של PCI DSS.
דוגמה נוספת: בארצות הברית, חוק היבילות ואחריות הדיווח של ביטוח בריאות (HIPAA) קובע תקנים לטיפול במידע רפואי אישי (PHI) אלקטרוני. האחריות הזו משותפת גם בין ספק שירותי הענן לביניכם. למידע נוסף על האופן שבו Google Cloud עומד באחריות שלנו במסגרת HIPAA, ראו HIPAA – תאימות.
גם בתעשיות אחרות (למשל, פיננסים או ייצור) יש תקנות שמגדירות איך אפשר לאסוף, לעבד ולאחסן נתונים. ב-Compliance resource center מוסבר בהרחבה על האחריות המשותפת שקשורה לנושאים האלה, ואיךGoogle Cloud עומדת באחריות שלה.
מוגדר לפי מיקום
בהתאם לתרחיש העסקי, יכול להיות שתצטרכו להביא בחשבון את תחומי האחריות שלכם על סמך המיקום של משרדי העסק, הלקוחות והנתונים שלכם. במדינות ובאזורים שונים יש תקנות שונות לגבי עיבוד ואחסון של נתוני לקוחות. לדוגמה, אם לעסק שלכם יש לקוחות שמתגוררים באיחוד האירופי, יכול להיות שהעסק צריך לעמוד בדרישות שמתוארות ב-General Data Protection Regulation (התקנות הכלליות להגנה על מידע, GDPR), ויכול להיות שאתם מחויבים לשמור את נתוני הלקוחות באיחוד האירופי עצמו. במקרה כזה, אתם צריכים לוודא שהנתונים שאתם אוספים נשארים בGoogle Cloud אזורים באיחוד האירופי. למידע נוסף על האופן שבו אנחנו עומדים בהתחייבויות שלנו בנושא GDPR, קראו את המאמר GDPR ו- Google Cloud.
למידע על הדרישות שקשורות לאזור שלכם, ראו הצעות לשמירה על תאימות. אם התרחיש שלכם מורכב במיוחד, מומלץ לדבר עם צוות המכירות או עם אחד מהשותפים שלנו כדי לקבל עזרה בהערכת תחומי האחריות שלכם בנושא אבטחה.
אתגרים באחריות המשותפת
למרות שהאחריות המשותפת עוזרת להגדיר את תפקידי האבטחה שלכם או של ספק שירותי הענן, ההסתמכות על אחריות משותפת עדיין יכולה ליצור אתגרים. לצורך המחשה, נבחן את התרחישים הבאים:
- הרבה פרצות אבטחה בענן הן תוצאה ישירה של הגדרה שגויה. מוצרי הענן משתנים כל הזמן, ומוצרים חדשים מושקים כל הזמן. ההתמודדות עם השינויים המתמידים יכולה להיות מאתגרת. הלקוחות צריכים שספקי שירותי הענן יספקו להם שיטות מומלצות מוגדרות מראש כדי לעזור להם לעמוד בקצב השינויים, החל משיטות מומלצות כברירת מחדל ועד להגדרת בסיס מאובטח.
- למרות שחלוקת הפריטים לפי שירותי ענן היא שימושית, לארגונים רבים יש עומסי עבודה שדורשים כמה סוגים של שירותי ענן. במצב כזה, צריך להביא בחשבון את האינטראקציה בין אמצעי הבקרה השונים לאבטחה בשירותים האלה, כולל אם יש חפיפה בין השירותים. לדוגמה, יכול להיות שיש לכם אפליקציה מקומית שאתם מעבירים ל-Compute Engine, אתם משתמשים ב-Google Workspace לאימייל הארגוני, וגם מריצים את BigQuery כדי לנתח נתונים ולשפר את המוצרים שלכם.
- העסק והשווקים שלכם משתנים כל הזמן, למשל כשהתקנות משתנות, כשאתם נכנסים לשווקים חדשים או כשאתם רוכשים חברות אחרות. יכול להיות שבשווקים החדשים יהיו דרישות שונות, ושהחברה החדשה שרכשתם מארחת את עומסי העבודה שלה בענן אחר. כדי להתמודד עם השינויים התמידיים, צריך להעריך מחדש את פרופיל הסיכון באופן קבוע ולהיות מסוגלים להטמיע אמצעי בקרה חדשים במהירות.
- ההחלטה איך ואיפה לנהל את מפתחות ההצפנה של הנתונים היא החלטה חשובה שקשורה לאחריות שלכם להגן על הנתונים. האפשרות שתבחרו תלויה בדרישות הרגולטוריות, בסביבה שבה אתם פועלים (סביבת ענן היברידית או סביבה מקומית) וברגישות של הנתונים שאתם מעבדים ומאחסנים.
- ניהול אירועים הוא תחום חשוב, שלעיתים קרובות מתעלמים ממנו, שבו תחומי האחריות שלכם ושל ספק שירותי הענן לא מוגדרים בקלות. במקרים רבים, כדי לחקור אירועים ולצמצם את ההשפעה שלהם, נדרש שיתוף פעולה הדוק ותמיכה מצד ספק שירותי הענן. אירועים אחרים יכולים להיגרם כתוצאה מהגדרה שגויה של משאבי ענן או מגניבת פרטי כניסה. לא תמיד קל לעמוד בשיטות המומלצות לאבטחת המשאבים והחשבונות.
- תקיפות סייבר מתמשכות (APT) ונקודות חולשה חדשות יכולות להשפיע על עומסי העבודה בדרכים שאולי לא חשבתם עליהן כשהתחלתם את המעבר לענן. קשה להתעדכן בשינויים בתחום, ולדעת מי אחראי לצמצום האיומים, במיוחד אם אין בעסק צוות אבטחה גדול.
שת"פ הדוק
פיתחנו את מודל השת"פ ההדוק ב- Google Cloud כדי להתחיל לטפל באתגרים שמודל האחריות המשותפת לא מטפל בהם. גורל משותף מתמקד באופן שבו כל הצדדים יכולים לקיים אינטראקציה טובה יותר כדי לשפר את האבטחה באופן רציף. המודל "גורל משותף" מבוסס על מודל האחריות המשותפת, כי הוא רואה את הקשר בין ספק שירותי הענן ללקוח כשותפות מתמשכת לשיפור האבטחה.
במסגרת שת"פ הדוק, אנחנו לוקחים אחריות על שיפור האבטחה של Google Cloud. המודל כולל עזרה בהתחלת העבודה עם אזור נחיתה מאובטח, ומתן מידע ברור, מפורט ושקוף לגבי אמצעי הבקרה, ההגדרות והשיטות המומלצות לאבטחה. זה כולל עזרה בכימות ובניהול הסיכונים באמצעות ביטוח סייבר, בעזרת התוכנית להגנה מסיכונים. אנחנו רוצים להשתמש במודל של שת"פ הדוק כדי לעבור מהמודל הסטנדרטי של אחריות משותפת למודל טוב יותר, שיעזור לכם לאבטח את העסק ולבנות אמון ב- Google Cloud.
בקטעים הבאים מתוארים הרכיבים השונים של שת"פ הדוק.
עזרה בתחילת העבודה
רכיב מרכזי של שת"פ הדוק הוא המשאבים שאנחנו מספקים כדי לעזור לכם להתחיל לעבוד בהגדרה מאובטחת ב- Google Cloud. התחלה עם הגדרה מאובטחת עוזרת לצמצם את בעיית ההגדרות השגויות, שהיא הגורם העיקרי לרוב פרצות האבטחה.
מקורות המידע שלנו כוללים את:
- תוכנית יסודות האבטחה לארגונים, שבה מפורטים נושאי האבטחה החשובים ביותר וההמלצות המובילות שלנו.
תבניות מאובטחות שמאפשרות לפרוס ולתחזק פתרונות מאובטחים באמצעות תשתית כקוד (IaC). ההמלצות שלנו בנושא אבטחה מופעלות כברירת מחדל בתבניות. הרבה מהתבניות נוצרות על ידי צוותי האבטחה של Google ומנוהלות כמוצרים. התמיכה הזו כוללת עדכונים שוטפים, תהליך בדיקה קפדני ואישורים מקבוצות בדיקה של צד שלישי. התוכניות כוללות את התוכנית ליסודות הארגון ואת התוכנית למחסן נתונים מאובטח.
המלצות של Google Cloud Well-Architected Framework להטמעת אבטחה בתכנונים שלכם.
מדריכים לניווט באזורי נחיתה, שמסבירים שלב אחרי שלב את ההחלטות החשובות שצריך לקבל כדי לבנות בסיס מאובטח לעומסי העבודה, כולל היררכיית משאבים, הוספת זהויות, אבטחה וניהול מפתחות ומבנה הרשת.
התוכנית להגנה מסיכונים
המודל כולל גם את התוכנית להגנה מסיכונים, שעוזרת לכם להשתמש ב- Google Cloud כפלטפורמה לניהול סיכונים, במקום להתייחס לעומסי העבודה בענן כעוד מקור לסיכונים שצריך לנהל. התוכנית להגנה מסיכונים היא שיתוף פעולה בין Google Cloud לבין שתי חברות מובילות בתחום ביטוח הסייבר: Munich Re ו-Allianz Global & Corporate Speciality.
התוכנית להגנה מסיכונים כוללת את Cyber Insurance Hub, שמספק תובנות שמבוססות על נתונים. אתם יכולים להשתמש בתובנות האלה כדי להבין טוב יותר את מצב האבטחה שלכם בענן. אם אתם מעוניינים בביטוח סייבר, אתם יכולים לשתף את התובנות האלה מ-Cyber Insurance Hub ישירות עם חברות הביטוח השותפות שלנו כדי לקבל הצעת מחיר.
עזרה בפריסה ובפיקוח
שת"פ הדוק גם עוזר לכם להמשיך לנהל את הסביבה שלכם. לדוגמה, אנחנו מתמקדים במוצרים כמו:
- Assured Workloads, שעוזר לכם לעמוד בדרישות התאימות.
- Security Command Center Premium, שמשתמש במודיעין איומי סייבר, בזיהוי איומים, בסריקת אינטרנט ובשיטות מתקדמות אחרות כדי לעקוב אחרי איומים ולזהות אותם. הוא גם מספק דרך לפתור הרבה מהאיומים האלה במהירות ובאופן אוטומטי.
- כללי מדיניות של הארגון והגדרות משאבים שמאפשרים להגדיר כללי מדיניות בכל היררכיית התיקיות והפרויקטים.
- כלים לבקרת מדיניות שמספקים תובנות לגבי הגישה לחשבונות ולמשאבים.
- Confidential Computing, שמאפשר להצפין נתונים בשימוש.
- Sovereign Controls by Partners, שזמין במדינות מסוימות ועוזר לאכוף את הדרישות לגבי מיקום אחסון הנתונים.
יישום בפועל של אחריות משותפת ושת"פ הדוק
כחלק מתהליך התכנון, כדאי לבצע את הפעולות הבאות כדי להבין ולהטמיע אמצעי אבטחה מתאימים:
- צרו רשימה של סוגי עומסי העבודה שתארחו ב-Google Cloud, וציינו אם הם דורשים שירותי IaaS, PaaS ו-SaaS. אתם יכולים להשתמש בתרשים האחריות המשותפת כרשימת משימות, כדי לוודא שאתם מכירים את אמצעי הבקרה לאבטחה שצריך להביא בחשבון.
- צרו רשימה של דרישות רגולטוריות שאתם צריכים לעמוד בהן, וגשו למשאבים שקשורים לדרישות האלה בCompliance resource center.
- ב-מרכז הארכיטקטורה תוכלו לעיין ברשימה של תוכניות וארכיטקטורות זמינות, כדי לבחור את אמצעי בקרת האבטחה שאתם צריכים לעומסי העבודה הספציפיים שלכם. התבניות מספקות רשימה של אמצעי בקרה מומלצים וקוד IaC שנדרש כדי לפרוס את הארכיטקטורה הזו.
- כדי לתכנן היררכיית משאבים וארכיטקטורת רשת שעומדות בדרישות שלכם, השתמשו במסמכי התיעוד של אזור הנחיתה ובהמלצות שבמדריך ליסודות הארגון. כדי להאיץ את תהליך הפיתוח, אתם יכולים להשתמש בתבניות של עומסי עבודה, כמו מחסן נתונים מאובטח.
- אחרי שפורסים את עומסי העבודה, צריך לוודא שאתם עומדים באחריות שלכם בנושא אבטחה באמצעות שירותים כמו Cyber Insurance Hub, Assured Workloads, כלים לבקרת מדיניות ו-Security Command Center Premium.
מידע נוסף זמין במאמר CISO's Guide to Cloud Transformation.
המאמרים הבאים
- עקרונות האבטחה העיקריים
- כדאי להכיר את התוכניות הזמינות, כולל התוכנית לניהול יסודות האבטחה ודוגמאות לעומסי עבודה כמו מחסן הנתונים המאובטח.
- מידע נוסף על שת"פ הדוק
- במאמר סקירה כללית על תכנון האבטחה בתשתית של Google תוכלו לקרוא על התשתית המאובטחת שלנו.
- בודקים את Google Cloud אמצעי הבקרה שתואמים לדרישות של NIST Cybersecurity Framework.