Het cloud-beveiligingsmodel, meestal het model van gedeelde verantwoordelijkheid genoemd, verdeelt de beveiligingstaken tussen de cloudprovider en de klant. De provider beveiligt de fysieke datacenters, hardware en het kernplatform. De klant beveiligt zijn eigen data, gebruikerstoegang en de configuratie van de diensten die hij gebruikt. De verdeling verschuift afhankelijk van of je IaaS, PaaS of SaaS gebruikt.
Wie beveiligt wat in de cloud
De provider is verantwoordelijk voor de beveiliging van de cloud, dat wil zeggen gebouwen, hardware, netwerken en de virtualisatielaag. Jij bent verantwoordelijk voor de beveiliging in de cloud, dat wil zeggen wat je erop draait en hoe je het inricht. Geen enkel servicemodel draagt de verantwoordelijkheid voor je data of gebruikersaccounts over aan de provider.
Hoe verschuift de verdeling per servicetype
Hoe meer de provider beheert, hoe minder je zelf hoeft te beveiligen.
| Laag | IaaS | PaaS | SaaS |
|---|---|---|---|
| Fysiek en netwerk | Provider | Provider | Provider |
| Besturingssysteem | Jij | Provider | Provider |
| Runtime en applicatie | Jij | Jij | Provider |
| Data en toegang | Jij | Jij | Jij |
Jouw aandeel in data en toegang daalt nooit naar nul, en daarom verdienen identiteit en rechten aandacht in elk model.
Wat zijn de meest voorkomende fouten
De meeste incidenten ontstaan door configuratiefouten, niet door aanvallen op de provider. Openbare storage buckets, te ruime rechten, ongebruikte toegangssleutels en ontbrekende logging komen steeds terug. Secrets in code repositories zijn een andere veelvoorkomende oorzaak.
Welke maatregelen moet elk team hebben
Een korte lijst dekt het grootste deel van het risico.
- Single sign-on en multi-factor authenticatie voor alle gebruikers.
- Minimale rechten op basis van het least-privilege principe, periodiek gecontroleerd.
- Versleuteling van data in rust en onderweg, met beheerde sleutels.
- Centrale logging en meldingen bij afwijkende activiteit.
- Infrastructuur vastgelegd als code, zodat instellingen worden beoordeeld als elke andere wijziging.
- Regelmatige back-ups met een getest herstelproces.
Wat heeft dit met een migratie te maken
Een migratie verplaatst systemen naar een model waarin deze verantwoordelijkheden vanaf dag één gelden. Plan de accountstructuur, toegangsregels en logging vóór de eerste workload verhuist, zoals beschreven in de gids voor een cloudmigratie. De keuze tussen hostingvormen bepaalt ook jouw aandeel, wat aan bod komt in voor- en nadelen van webhostingvormen.
Hoe begin je met het beveiligen van een nieuw cloudaccount
Begin met de accountstructuur. Scheid productie van test, geef elk zijn eigen accounts of projecten en zet logging aan voordat er iets wordt uitgevoerd. Maak rollen aan voor mensen en voor services, en verwijder langlevende toegangssleutels overal waar een rol ze kan vervangen.
Voeg daarna brede beveiligingsmaatregelen toe die voor alles gelden, zoals het standaard blokkeren van openbare storage en het verplicht stellen van versleuteling. Zulke maatregelen voorkomen een fout voordat die de productieomgeving bereikt, wat goedkoper is dan hem achteraf tijdens een review te ontdekken.
Hoe weet je of het werkt
Test je maatregelen op vaste momenten. Probeer een back-up te herstellen, controleer wie beheerdersrechten heeft, voer een scan uit op publieke resources en oefen de stappen bij een gelekt credential. Een maatregel die nooit getest is, is een aanname.
Houd een kort schriftelijk runbook bij voor het eerste uur van een incident, inclusief wie beslist, welke sleutels worden ingetrokken en waar de logs staan.
Wat betekent dit als je engineers inhuurt
Cloudbeveiliging vereist engineers die configuratie als code behandelen en die zorgvuldig reviewen. Miyagami plaatst senior engineers via de pagina's DevOps engineers en AWS engineers, fulltime vanaf €5.600 per maand met een minimum van drie maanden. Elke engineer wordt getest door een AI-native techlead die dagelijks met AI werkt, zoals beschreven op how we vet. We zijn ISO 27001-gecertificeerd en werken conform de AVG met EU-dataresidentie.
Korte antwoorden
Wat is het shared responsibility model?
Het is de verdeling van beveiligingstaken tussen de cloudprovider en de klant. De provider beveiligt het platform en de klant beveiligt wat daarop wordt geplaatst.
Wie is verantwoordelijk voor data in de cloud?
De klant, bij elk servicemodel. De provider beheert niet wie binnen jouw organisatie toegang heeft tot jouw data.
Wat veroorzaakt de meeste cloudbeveiligingsincidenten?
Verkeerde configuratie en zwak toegangsbeheer, zoals publieke opslagbuckets en te ruime rechten.
Verschilt het model per servicetype?
Ja. Je draagt de meeste verantwoordelijkheid bij IaaS en de minste bij SaaS.
