Was ist das AWS-Modell der geteilten Verantwortung?

Cloud-Anbieter wie AWSAmazon übernimmt zwar einen erheblichen Teil der Infrastruktursicherheit, doch das bedeutet nicht, dass die Kunden aus der Verantwortung entlassen sind. Das Modell der geteilten Verantwortung von Amazon legt genau fest, wo die Verantwortung des Anbieters endet und die des Kunden beginnt.

Dieser Artikel erläutert die wichtigsten Komponenten des Modells der geteilten Verantwortung und bietet einen praktischen Überblick darüber, wie sich die Verantwortlichkeiten je nach Art des genutzten AWS-Dienstes verteilen.

Hinweis: Viele dieser Konzepte gelten auch für andere Cloud-Dienstleister.

Das Modell der geteilten Verantwortung von Amazon unterteilt die Verantwortlichkeiten in zwei Kategorien: Sicherheit der Cloud und Sicherheit in der Cloud. AWS ist für die physische Infrastruktur verantwortlich, einschließlich Rechenzentren, Servern und Netzwerken. Die Kunden verwalten alles, was innerhalb der Cloud läuft, einschließlich Daten, Zugriffskontrollen, Anwendungseinstellungen und Verschlüsselung.

Bei Infrastructure-as-a-Service (IaaS) wie Amazon EC2 kümmern sich die Kunden um das Betriebssystem, die Firewall-Einstellungen und die Installation von Software-Patches. Im Gegensatz dazu übernimmt AWS bei serverlosen oder verwalteten Diensten wie AWS Lambda oder Amazon S3 die Verantwortung für die Plattform und die Laufzeitumgebung, während die Kunden weiterhin für Zugriffsberechtigungen und Datenintegrität verantwortlich sind.

Um ihren Teil des Modells zu erfüllen, müssen Kunden über klare Prozesse für die Verwaltung von Konfigurationen, das Anwenden von Patches und die Sicherung von Identitäten verfügen. AWS stellt zwar die Infrastruktur bereit, doch die Kunden sind dafür verantwortlich, das zu sichern, was sie darauf aufbauen.

Ein falsches Verständnis des Modells der geteilten Verantwortung kann zu Sicherheitslücken bei AWS führen. Wenn Teams davon ausgehen, dass AWS mehr übernimmt, als tatsächlich der Fall ist, werden möglicherweise wichtige Aufgaben wie Zugriffskontrolle oder Datenverschlüsselung übersehen, was das Risiko von Sicherheitslücken oder Compliance-Problemen erhöht.

Die Zuweisung klarer Rollen trägt dazu bei, Verwirrung und versäumte Schritte zu vermeiden. Sicherheitsteams müssen festlegen, wer für welche Aufgaben in den Netzwerk-, Konfigurations- und Anwendungsebenen zuständig ist. Dazu gehört die Entscheidung, wer Firewall-Richtlinien festlegt, wer das Patch-Management übernimmt und wer die Systemaktivitäten überwacht.

1. Bestandsaufnahme der genutzten AWS-Dienste: Ermitteln Sie, welche Dienste genutzt werden, und ordnen Sie diese nach Diensttyp (IaaS, PaaS, SaaS) ein, da sich die Zuständigkeiten je nach Modell unterscheiden.

2. Legen Sie die Zuständigkeiten klar fest: Nutzen Sie die AWS-Dokumentation, um zu unterscheiden, was AWS verwaltet und was Ihre Teams selbst übernehmen müssen.

3. Zuweisung der Zuständigkeit anhand von Kontrollmaßnahmen: Dokumentieren Sie, welches Team oder welche Person für die jeweilige Aufgabe verantwortlich ist, insbesondere bei vom Kunden verwalteten Kontrollmaßnahmen wie Verschlüsselung oder Zugriffsrichtlinien.

4. Konfigurationsprüfungen automatisieren: Nutzen Sie Tools wie AWS Config, um die Einhaltung Ihrer internen Sicherheitsstandards zu überwachen.

5. Überprüfen Sie regelmäßig die Zugriffsberechtigungen: Überprüfen Sie die IAM-Richtlinien, um den Zugriff entsprechend den jeweiligen Aufgabenbereichen einzuschränken, und entfernen Sie nicht mehr verwendete Anmeldedaten.

6. Planen Sie für den schlimmsten Fall: Setzen Sie auf Unveränderlichkeit, Unlöschbarkeit und Air-Gapping, damit im Falle eines katastrophalen Ereignisses oder eines Eindringens böswilliger Akteure der Schaden minimiert wird und stets ein Recovery-Punkt zur Verfügung steht.

Commvault ermöglicht dieses Maß an proaktiver Isolierung und Unveränderlichkeit durch:

• Einfach konfigurierbare Datenkopien in isolierten Konten mit Commvault AirGap.
• Standardmäßig Air-Gapped-Backups über mehrere Konten hinweg mitCommvault® Cloud ZurückspulenundClumio.

7. Testen Sie die Reaktionsabläufe: Führen Sie Simulationen durch, um zu überprüfen, ob die Erkennungs- und Recovery-Maßnahmen wie erwartet funktionieren und den richtigen Teams zugewiesen sind.

Commvault kann dabei helfen, das Testen und die Validierung von Recovery-Prozessen zu automatisieren – entweder mit seiner branchenweit ersten Cleanroom Recovery-Lösung oder mithilfe der regionen- und kontoübergreifenden Recovery-Funktionen von Cloud Rewind und Clumio.

8. Aktualisieren Sie die Dokumentation regelmäßig: Passen Sie die Zuordnungen Ihres Modells der geteilten Verantwortung an, sobald sich die Nutzung der Dienste ändert, damit sie der aktuellen Architektur und den aktuellen Kontrollmaßnahmen entsprechen.

Diese Tabelle verdeutlicht, wie sich die Verantwortlichkeit von einem Einzelverantwortlichen hin zu einem gemeinsamen Modell verlagert. Ein Missverständnis dieser Verlagerungen kann zu Sicherheitslücken führen, insbesondere in Bereichen wie der Zugriffskontrolle und der Protokollierung von Audits. Zu wissen, welches Team für welche Kontrollmaßnahme zuständig ist, trägt dazu bei, dieses Risiko zu verringern.

• Vereinfachte Verwaltung: Commvault lässt sich umfassend in AWS-Dienste – sowie in andere On-Premises- und Cloud-Technologien – integrieren, um den richtlinienbasierten Schutz über eine zentrale Oberfläche zu automatisieren.
• Verbesserte Sicherheit: Commvault bietet durch KI-gestützte Threat Scans einen besseren Schutz vor Ransomware und anderen Cyberbedrohungen und stellt zudem luftisolierte, unveränderliche und unauslöschbare Sicherungskopien für eine verbesserte Wiederherstellbarkeit bereit.
• Geringere Gesamtbetriebskosten (TCO): Neben den Kostenvorteilen, die sich aus der Risikominimierung und der Verringerung der Auswirkungen potenzieller Bedrohungen ergeben, unterstützt Commvault Unternehmen auch dabei, die mit der Datensicherung verbundenen Cloud-Kosten zu kontrollieren, indem die Erfassung und Speicherung der Daten optimiert wird. Mit Commvault können Unternehmen weniger vollständige Snapshots vorhalten und Daten dedupliziert und komprimiert speichern, ohne dabei die Wiederherstellungsziele zu beeinträchtigen, wodurch erhebliche Kosteneinsparungen erzielt werden.

Die Sony Group, der weltweit tätige Unterhaltungs- und Elektronikkonzern, stand vor erheblichen Herausforderungen bei der Vereinheitlichung der Cyber-Resilienz in ihrer komplexen Multi-Cloud-Umgebung. Angesichts umfangreicher AWS- und Azure-Bereitstellungen benötigte das Data Center Services-Team eine Lösung, die eine Brücke zwischen den On-Premise-, Cloud- und SaaS-Workloads schlagen und gleichzeitig strenge Sicherheitsanforderungen erfüllen konnte.

„Unsere Strategie besteht darin, eine globale Verbindung von unseren Rechenzentren zu unserer Cloud-Lösung herzustellen“, erklärt Cassandra Cinar, Senior Director of Data Center Services bei Sony. „Um dies zu erreichen, benötigen wir eine einheitliche Plattform für die Recovery-Prozesse über Cloud-, On-Premises- und Software-as-a-Service-Workloads hinweg.“
Die Sicherheitsanforderungen von Sony waren besonders hoch. Das Unternehmen benötigte eine Lösung, die Daten für praktisch alle AWS-Nutzer weltweit schützen und gleichzeitig die vielfältige Multi-Architektur-Umgebung des Unternehmens unterstützen konnte. Darüber hinaus musste die Lösung Sony dabei helfen, die Anforderungen interner Finanzsysteme sowie die SOC- und DSGVO-Vorgaben einzuhalten.

Nach der Bewertung mehrerer Optionen entschied sich Sony aufgrund der umfassenden Funktionen zur Cyber-Resilienz für „Commvault Cloud“. Die Implementierung umfasst nun 5.000 Endpunkte über mehrere Rechenzentren, Regionen und Cloud-Anbieter hinweg, einschließlich der umfangreichen AWS-Infrastruktur.

Die Ergebnisse sind beachtlich. Sony senkte die Kosten für Hardware, Speichermedien sowie Datensicherung um etwa 80 % durch Verschlüsselung, Komprimierung und die Umstellung auf festplattenbasierten und Cloud-Speicher in AWS und Azure. Das Unternehmen verbesserte zudem seine Recovery Point Objectives und ist nun in der Lage, Bedrohungen früher zu erkennen, schneller wiederherzustellen und Ausfallzeiten zu reduzieren.

„Die wesentlichen Unterschiede zwischen Sicherheitslösungen liegen in ihren Bereitstellungs- und Recovery-Fähigkeiten“, sagte Cinar. „Die robuste und umfassende Infrastruktur von Commvault erfüllt alle unsere Anforderungen hinsichtlich Recovery, Service-Level-Vereinbarungen und entscheidender Funktionen wie der Erkennung von Bedrohungen und anderer SicherheitsFeatures.“

Die Erfahrungen von Sony zeigen, wie Unternehmen das AWS-Modell der geteilten Verantwortung erfolgreich umsetzen können, indem sie einen einheitlichen Ansatz für Datenschutz und Sicherheit in hybriden Umgebungen verfolgen. Durch die Partnerschaft mit Commvault und Accenture konnten sie einheitliche Schutzrichtlinien für ihre gesamte AWS-Infrastruktur etablieren und gleichzeitig die Einhaltung sowohl interner als auch externer Anforderungen gewährleisten.

Commvault unterstützt Kunden dabei, ihren Verpflichtungen im Rahmen des AWS-Modells der geteilten Verantwortung nachzukommen, indem es Tools auf Unternehmensniveau für folgende Bereiche bereitstellt:um seine Datensicherungsstrategie zu verbessern., Recovery undder Compliance. Die Plattform unterstützt Hybrid- und Multi-Cloud-Umgebungen, sodass Unternehmen ihre Daten über AWS und andere Infrastrukturen hinweg einheitlich verwalten können.

Commvault erweitert die Verantwortung für die Sicherung und den Schutz von Daten in der Cloud auf geschäftskritische Workloads in Rechenzentren – und zwar durch „Air-Gapped“-Backups, die unveränderlich sind und in einem isolierten Tenant in Amazon S3 gespeichert werden.

Dadurch können Unternehmen diese zusätzliche Wiederherstellungsebene in einem möglichst breiten Ökosystem bereitstellen, das unter anderem Infrastruktur und Anwendungen wie SAP, Oracle, Microsoft SQL Server, Active Directory, Epic Systems, VMware und ServiceNow umfasst. Commvault schützt diese Workloads, sichert sie in AWS und bietet zusätzliche Sicherheits- und Ausfallsicherheitsstufen, um dem Modell der geteilten Verantwortung gerecht zu werden.

Durch die Vereinfachung mittels integrierter Automatisierung reduziert Commvault manuelle Schritte bei Backup and Recovery und hilft Teams so, schneller und fehlerfreier zu reagieren. Dank zentraler Transparenz über alle Workloads hinweg können IT- und Sicherheitsteams Datenaktivitäten überwachen, Kontrollmaßnahmen überprüfen und die Einhaltung branchenweiter Vorschriften gewährleisten.

Mit seiner Clumio-Lösung ermöglicht Commvault Unternehmen zudem, schnellere Recoverys zu geringeren Kosten für neue native Workloads wie Amazon S3 und Amazon DynamoDB durchzuführen, wodurch der Schutz optimiert und dieser wichtige Schutz leichter zugänglich gemacht wird. Unternehmen, die Clumio nutzen, können ihrer gemeinsamen Verantwortung fürSchutz von Daten innerhalb nativer AWS-Dienstemit einer einfachen, schlüsselfertigen Lösung, die auf Kosten und Effizienz optimiert ist.

Das Verständnis des AWS-Modells der geteilten Verantwortung ist entscheidend für den Schutz Ihrer Daten und Anwendungen in der Cloud. Wenn Sie genau wissen, welche Sicherheitsmaßnahmen in Ihren Verantwortungsbereich fallen, können Sie wirksamere Schutzmaßnahmen ergreifen und schneller auf Bedrohungen reagieren.
Commvault kann Unternehmen dabei helfen, Sicherheitslücken zu schließen und ihre Datensicherungsstrategie in AWS zu stärken. Lassen Sie uns Ihnen daher zeigen, wie unsere Plattform Sie bei der Erreichung Ihrer Cloud-Sicherheitsziele unterstützen kann, indem wirEine Demo anfordern.