View a markdown version of this page

Responsabilidade compartilhada - Pilar Segurança

Responsabilidade compartilhada

Segurança e conformidade são uma responsabilidade compartilhada entre a AWS e o cliente. Esse modelo compartilhado pode ajudar a reduzir os encargos operacionais do cliente porque a AWS opera, gerencia e controla os componentes do sistema operacional do host e a camada de virtualização, incluindo a segurança física das instalações em que o serviço opera. O cliente assume o gerenciamento e a responsabilidade pelo sistema operacional convidado (inclusive por atualizações e correções de segurança) e por outro software de aplicação associado, bem como pela configuração do firewall dos grupos de segurança fornecido pela AWS. Os clientes devem examinar cuidadosamente os serviços que escolherem, pois suas respectivas responsabilidades variam de acordo com os serviços utilizados, a integração desses serviços ao seu ambiente de TI e as leis e regulamentações aplicáveis. A natureza dessa responsabilidade compartilhada também oferece a flexibilidade e o controle do cliente que permitem a implantação. Conforme mostrado no gráfico a seguir, normalmente essa diferenciação da responsabilidade é mencionada como segurança "da" nuvem versus segurança "na" nuvem.

"Segurança da nuvem" é responsabilidade da AWS: a AWS é responsável pela proteção da infraestrutura que executa todos os serviços oferecidos na Nuvem AWS. Essa infraestrutura é composta por hardware, software, redes e instalações que executam os serviços da Nuvem AWS.

"Segurança na nuvem" é responsabilidade do cliente: a responsabilidade do cliente será determinada pelos serviços da Nuvem AWS selecionados por um cliente. Isso define o volume do trabalho de configuração que o cliente deve executar como parte de suas responsabilidades com a segurança. Por exemplo, um serviço como o Amazon Elastic Compute Cloud (Amazon EC2) é categorizado como infraestrutura como serviço (IaaS) e, como tal, exige que o cliente execute todas as tarefas necessárias de gerenciamento e configuração de segurança. Os clientes que implantam a instância do Amazon EC2 são responsáveis pelo gerenciamento do sistema operacional convidado (incluindo atualizações e patches de segurança), por todos os utilitários ou software de aplicação que instalarem nas instâncias e pela configuração do firewall fornecido pela AWS (chamado de grupo de segurança) em cada instância. Para serviços abstraídos, como o Amazon S3 e o Amazon DynamoDB, a AWS opera a camada de infraestrutura, o sistema operacional e as plataformas, e os clientes acessam os endpoints para armazenar e recuperar dados. Os clientes são responsáveis por gerenciar seus dados (incluindo opções de criptografia), classificar seus ativos e usar as ferramentas do IAM para aplicar as permissões apropriadas.

Modelo de responsabilidade compartilhada mostrando as responsabilidades do cliente acima das camadas da infraestrutura da AWS.

Figura 1: modelo de responsabilidade compartilhada da AWS.

Esse modelo de responsabilidade compartilhada entre o cliente e a AWS também se estende aos controles de TI. Assim como a responsabilidade de operar o ambiente de TI é compartilhada entre a AWS e seus clientes, o gerenciamento, a operação e a verificação dos controles de TI também são compartilhados. A AWS pode ajudar a aliviar a carga de controles operacionais do cliente gerenciando os controles associados à infraestrutura física implantada no ambiente da AWS que pode ter sido gerenciada anteriormente pelo cliente. Já que cada cliente é implantado de forma diferente na AWS, os clientes podem aproveitar a mudança do gerenciamento de determinados controles de TI para a AWS, o que resulta em um (novo) ambiente de controle distribuído. Os clientes podem utilizar a documentação de conformidade e controle da AWS disponível para realizar procedimentos de avaliação e verificação de controle, conforme necessário. Veja a seguir exemplos de controles gerenciados pela AWS, por clientes da AWS ou por ambos.

Controles herdados: controles que um cliente herda totalmente da AWS.

  • Controles físicos e ambientais

Controles compartilhados: controles que se aplicam tanto à camada de infraestrutura quanto às camadas do cliente, mas em contextos ou perspectivas separados. Em um controle compartilhado, a AWS fornece os requisitos para a infraestrutura e o cliente deve fornecer a própria implementação de controle dentro do uso de serviços da AWS. Os exemplos incluem:

  • Gerenciamento de aplicação de patches: a AWS é responsável por aplicar patches e corrigir falhas na infraestrutura, mas os clientes são responsáveis por corrigir aplicativos e sistemas operacionais convidados.

    • Para serviços gerenciados pela AWS que operam em arquiteturas de locatário único (como Amazon ElastiCache, Amazon RDS e Amazon OpenSearch Service), a responsabilidade pelo gerenciamento de patches é compartilhada da seguinte forma:

      • Responsabilidade da AWS: identifique vulnerabilidades, desenvolva e valide patches, lance patches dentro do SLA de patches do serviço e notifique os clientes sobre as atualizações disponíveis por meio do mecanismo de notificação documentado do serviço.

      • Responsabilidade do cliente: revise as atualizações disponíveis e facilite a aplicação de patches selecionando janelas de manutenção, aplicando atualizações de serviço ou agendando as reinicializações necessárias dentro dos prazos comunicados pela AWS.

    • Para serviços gerenciados pela AWS que operam em arquiteturas multilocatárias (como Amazon ElastiCache sem servidor, Amazon DynamoDB e Amazon S3), a responsabilidade pelo gerenciamento de patches é compartilhada da seguinte forma:

      • Responsabilidade da AWS: aplique patches sem exigir a ação do cliente.

      • Responsabilidade do cliente: consulte a documentação de patches e manutenção de cada serviço gerenciado pela AWS usado para entender os mecanismos específicos de notificação, as opções de janela de manutenção e os processos de aplicativos de atualização disponíveis.

  • Gerenciamento de configuração: a AWS mantém a configuração dos dispositivos de infraestrutura, mas os clientes são responsáveis por configurar os próprios bancos de dados, aplicativos e sistemas operacionais convidados.

  • Conscientização e capacitação: a AWS capacita os funcionários, mas os clientes devem capacitar seus próprios funcionários.

Específicos do cliente: controles que são de responsabilidade exclusiva do cliente com base no aplicativo que está sendo implantado nos serviços da AWS. Os exemplos incluem:

  • Proteção de serviços e comunicações ou segurança de zona, que pode exigir que um cliente roteie ou localize dados em ambientes de segurança específicos.