Was ist das AWS-Modell der geteilten Verantwortung?

Cloud-Anbieter wie AWS übernehmen einen wesentlichen Teil der Infrastruktursicherheit, doch das bedeutet nicht, dass Kunden von ihrer Verantwortung entbunden sind. Das AWS-Modell der geteilten Verantwortung legt genau fest, wo die Verantwortung des Anbieters endet und die des Kunden beginnt.

Dieser Artikel erläutert die wichtigsten Komponenten des Modells der geteilten Verantwortung und bietet einen praktischen Überblick darüber, wie sich die Verantwortlichkeiten je nach Art des genutzten AWS-Dienstes verteilen.

Hinweis: Viele dieser Konzepte gelten auch für andere Cloud-Dienstleister.

Das Amazon-Modell der geteilten Verantwortung unterteilt die Verantwortlichkeiten in zwei Kategorien: Sicherheit der Cloud und Sicherheit in der Cloud. AWS ist für die physische Infrastruktur verantwortlich, einschließlich Rechenzentren, Servern und Netzwerken. Kunden verwalten, was innerhalb der Cloud ausgeführt wird, einschließlich Daten, Zugriffskontrollen, Anwendungseinstellungen und Verschlüsselung.

Bei Infrastructure-as-a-Service (IaaS) wie Amazon EC2 kümmern sich die Kunden um das Betriebssystem, die Firewall-Einstellungen und die Installation von Software-Patches. Im Gegensatz dazu übernimmt AWS bei serverlosen oder verwalteten Diensten wie AWS Lambda oder Amazon S3 die Verantwortung für die Plattform und die Laufzeitumgebung, während die Kunden weiterhin für Zugriffsberechtigungen und Datenintegrität verantwortlich sind.

Um ihren Teil des Modells zu erfüllen, müssen Kunden über klare Prozesse für die Konfigurationsverwaltung, das Anwenden von Patches und die Sicherung von Identitäten verfügen. AWS stellt zwar die Infrastruktur bereit, doch die Kunden sind dafür verantwortlich, das zu sichern, was sie darauf aufbauen.

Ein falsches Verständnis des Modells der geteilten Verantwortung kann zu Sicherheitslücken bei AWS führen. Wenn Teams davon ausgehen, dass AWS mehr übernimmt, als tatsächlich der Fall ist, werden möglicherweise wichtige Aufgaben wie Zugriffskontrolle oder Datenverschlüsselung übersehen, was das Risiko von Sicherheitslücken oder Compliance-Problemen erhöht.

Die Zuweisung klarer Rollen trägt dazu bei, Verwirrung und versäumte Schritte zu vermeiden. Sicherheitsteams müssen festlegen, wer für welche Aufgaben auf der Netzwerk-, Konfigurations- und Anwendungsebene zuständig ist. Dazu gehört die Entscheidung, wer Firewall-Richtlinien festlegt, wer das Patch-Management übernimmt und wer die Systemaktivitäten überwacht.

1. Bestandsaufnahme der genutzten AWS-Dienste: Ermitteln Sie, welche Dienste genutzt werden, und kategorisieren Sie diese nach Diensttyp (IaaS, PaaS, SaaS), da sich die Verantwortlichkeiten je nach Modell unterscheiden.

2. Verantwortlichkeiten klar zuweisen: Nutzen Sie die AWS-Dokumentation, um zu unterscheiden, was von AWS verwaltet wird und was Ihre Teams übernehmen müssen.

3. Verantwortlichkeiten nach Kontrollmaßnahmen zuweisen: Dokumentieren Sie, welches Team oder welche Person für jede Aufgabe verantwortlich ist, insbesondere für vom Kunden verwaltete Kontrollmaßnahmen wie Verschlüsselung oder Zugriffsrichtlinien.

4. Konfigurationsprüfungen automatisieren: Nutzen Sie Tools wie AWS Config, um die Einhaltung Ihrer internen Sicherheitsstandards zu überwachen.

5. Berechtigungen regelmäßig überprüfen: Überprüfen Sie IAM-Richtlinien, um den Zugriff entsprechend den Aufgabenbereichen einzuschränken und nicht mehr verwendete Anmeldedaten zu entfernen.

6. Architektur für Worst-Case-Szenarien: Setzen Sie auf Unveränderlichkeit, Unlöschbarkeit und Air-Gaps, damit im Falle eines katastrophalen Ereignisses oder eines Eindringens böswilliger Akteure der Schaden minimiert wird und stets ein Recovery-Punkt verfügbar ist.

Commvault ermöglicht dieses Maß an proaktiver Isolation und Unveränderlichkeit durch:

• Einfach konfigurierbare Datenkopien in isolierten Konten mit Commvault AirGap.
• Standardmäßige Air-Gap-Backups über mehrere Konten hinweg mit Commvault® Cloud Rewind und Clumio.

7. Testen Sie Reaktionsprozesse: Führen Sie Simulationen durch, um zu überprüfen, ob Erkennungs- und Recovery-Maßnahmen wie erwartet funktionieren und den richtigen Teams zugewiesen sind.

Commvault kann dabei helfen, das Testen und Validieren von Recovery-Prozessen zu automatisieren – entweder mit seiner branchenweit ersten „Cleanroom Recovery“-Lösung oder durch die regionen- und kontoübergreifenden Recovery-Funktionen in Cloud Rewind und Clumio.

8. Aktualisieren Sie die Dokumentation regelmäßig: Passen Sie bei Änderungen der Servicenutzung die Zuordnungen in Ihrem Modell der geteilten Verantwortung an, um die aktuelle Architektur und die aktuellen Kontrollmaßnahmen widerzuspiegeln.

Diese Tabelle verdeutlicht, wie sich die Verantwortung von einem alleinigen Verantwortlichen hin zu einem gemeinsamen Modell verlagert. Ein Missverständnis dieser Verlagerungen kann zu Sicherheitslücken führen, insbesondere in Bereichen wie der Zugriffskontrolle und der Protokollierung von Audits. Zu wissen, welches Team für welche Kontrollmaßnahme zuständig ist, trägt dazu bei, dieses Risiko zu verringern.

• Vereinfachte Verwaltung: Commvault lässt sich umfassend in AWS-Dienste – sowie in andere On-Premises- und Cloud-Technologien – integrieren, um den richtlinienbasierten Schutz über eine zentrale Oberfläche zu automatisieren.
• Erhöhte Sicherheit: Commvault bietet durch KI-gestützten Threat Scan einen besseren Schutz vor Ransomware und anderen Cyberbedrohungen sowie luftisolierte, unveränderliche und unauslöschbare Backup-Kopien für eine verbesserte Wiederherstellbarkeit.
• Geringere Gesamtbetriebskosten (TCO): Neben den Kostenvorteilen durch die Risikominderung und die Verringerung der Auswirkungen potenzieller Bedrohungen hilft Commvault Unternehmen auch dabei, die mit dem Datenschutz verbundenen Cloud-Kosten zu kontrollieren, indem die Erfassung und Speicherung der Daten optimiert wird. Mit Commvault können Unternehmen weniger vollständige Snapshots vorhalten und Daten dedupliziert und komprimiert speichern, ohne die Ziele der Recovery zu beeinträchtigen, wodurch erhebliche Kosteneinsparungen erzielt werden.

Die Sony Group, ein weltweit tätiger Unterhaltungs- und Elektronikkonzern, stand vor erheblichen Herausforderungen bei der Vereinheitlichung der Cyber-Resilienz in ihrer komplexen Multi-Cloud-Umgebung. Angesichts umfangreicher AWS- und Azure-Bereitstellungen benötigte das Data Center Services-Team eine Lösung, die eine Brücke zwischen den On-Premise-, Cloud- und SaaS-Workloads schlagen und gleichzeitig strenge Sicherheitsanforderungen erfüllen konnte.

„Unsere Strategie besteht darin, eine globale Verbindung von unseren Rechenzentren zu unserer Cloud-Lösung herzustellen“, erklärt Cassandra Cinar, Senior Director of Data Center Services bei Sony. „Um dies zu erreichen, benötigen wir eine einheitliche Plattform für die Recovery-Prozesse über Cloud-, On-Premises- und Software-as-a-Service-Workloads hinweg.“
Die Sicherheitsanforderungen von Sony waren besonders hoch. Das Unternehmen benötigte eine Lösung, die Daten für praktisch alle AWS-Nutzer weltweit schützen und gleichzeitig die vielfältige Multi-Architektur-Umgebung des Unternehmens unterstützen konnte. Darüber hinaus musste die Lösung Sony dabei helfen, die Anforderungen interner Finanzsysteme sowie die SOC- und DSGVO-Vorgaben einzuhalten.

Nach der Bewertung mehrerer Optionen entschied sich Sony aufgrund der umfassenden Funktionen zur Cyber-Resilienz für „Commvault Cloud“. Die Implementierung umfasst nun 5.000 Endpunkte über mehrere Rechenzentren, Regionen und Cloud-Anbieter hinweg, einschließlich der umfangreichen AWS-Infrastruktur.

Die Ergebnisse sind beachtlich. Sony senkte die Kosten für Hardware, Speichermedien sowie Datensicherung um etwa 80 % durch Verschlüsselung, Komprimierung und die Umstellung auf festplattenbasierten und Cloud-Speicher in AWS und Azure. Das Unternehmen verbesserte zudem seine Recovery Point Objectives und ist nun in der Lage, Bedrohungen früher zu erkennen, schneller wiederherzustellen und Ausfallzeiten zu reduzieren.

„Die wesentlichen Unterschiede zwischen Sicherheitslösungen liegen in ihren Bereitstellungs- und Recovery-Fähigkeiten“, sagte Cinar. „Die robuste und umfassende Infrastruktur von Commvault erfüllt alle unsere Anforderungen hinsichtlich Recovery, Service-Level-Vereinbarungen und entscheidender Funktionen wie der Erkennung von Bedrohungen und anderer Sicherheitsfunktionen.“

Die Erfahrungen von Sony zeigen, wie Unternehmen das AWS-Modell der geteilten Verantwortung erfolgreich umsetzen können, indem sie einen einheitlichen Ansatz für Datenschutz und Sicherheit in hybriden Umgebungen verfolgen. Durch die Partnerschaft mit Commvault und Accenture konnten sie einheitliche Schutzrichtlinien für ihre gesamte AWS-Infrastruktur etablieren und gleichzeitig die Einhaltung sowohl interner als auch externer Anforderungen gewährleisten.

Commvault unterstützt Kunden bei der Erfüllung ihrer Verpflichtungen im Rahmen des AWS-Modells der geteilten Verantwortung, indem es Tools der Enterprise-Klasse für Datenschutz, Recovery und Compliance bereitstellt. Die Plattform unterstützt Hybrid- und Multi-Cloud-Umgebungen, sodass Unternehmen ihre Daten über AWS und andere Infrastrukturen hinweg einheitlich verwalten können.

Commvault erweitert die Verantwortung für die Sicherung und den Schutz von Daten in der Cloud auf geschäftskritische Workloads im Rechenzentrum – und zwar durch „Air-Gapped“-Backups, die unveränderlich in einem isolierten Tenant in Amazon S3 gespeichert werden.

Dadurch können Unternehmen diese zusätzliche Wiederherstellungsebene über das breiteste Ökosystem hinweg bereitstellen, einschließlich Infrastruktur und Anwendungen wie SAP, Oracle, Microsoft SQL Server, Active Directory, Epic Systems, VMware und ServiceNow, um nur einige zu nennen. Commvault schützt diese Workloads, sichert sie in AWS und bietet zusätzliche Sicherheits- und Ausfallsicherheitsschichten, um dem Modell der geteilten Verantwortung gerecht zu werden.

Durch die integrierte Automatisierung vereinfacht Commvault die manuellen Schritte bei Backup and Recovery und hilft Teams so, schneller und fehlerfreier zu reagieren. Die zentralisierte Transparenz über alle Workloads hinweg ermöglicht es IT- und Sicherheitsteams, Datenaktivitäten zu überwachen, Kontrollen zu überprüfen und die Einhaltung von Branchenvorschriften sicherzustellen.

Mit seiner Clumio-Lösung ermöglicht Commvault Unternehmen zudem schnellere Recoverys zu geringeren Kosten für neue native Workloads wie Amazon S3 und Amazon DynamoDB, wodurch der Schutz optimiert und dieser wichtige Schutz zugänglicher gemacht wird. Unternehmen, die Clumio nutzen, können ihrer gemeinsamen Verantwortung für den Schutz von Daten innerhalb nativer AWS-Dienste mit einer einfachen, schlüsselfertigen Lösung nachkommen, die auf Kosten und Effizienz optimiert ist.

Das Verständnis des AWS-Modells der geteilten Verantwortung ist entscheidend für den Schutz Ihrer Daten und Anwendungen in der Cloud. Wenn Sie genau wissen, welche Sicherheitskontrollen in Ihren Verantwortungsbereich fallen, können Sie stärkere Abwehrmaßnahmen aufbauen und schneller auf Bedrohungen reagieren.
Commvault kann Unternehmen dabei helfen, Sicherheitslücken zu schließen und ihre Datensicherungsstrategie in AWS zu stärken. Lassen Sie sich daher von uns zeigen, wie unsere Plattform Ihre Cloud-Sicherheitsziele unterstützen kann – fordern Sie einfach eine Demo an.