ACSC: Cloud Computing Security for Cloud Service Providers («Безопасность облачных вычислений для поставщиков облачных услуг»)

Этот документ разработан в помощь экспертам, которые занимаются проверкой безопасности облачных сервисов и предоставляют независимое подтверждение уровня безопасности, заявленного поставщиком облачных услуг (CSP). Этот документ также может быть использован поставщиками облачных услуг для улучшения безопасности облачных сервисов.

Команда по обеспечению кибербезопасности организации, архитекторы облака и представители бизнес-подразделений должны использовать сопутствующий документ Cloud Computing Security for Tenants («Безопасность облачных вычислений для держателей»).

По определению Национального института стандартов и технологий США, облачные вычисления предоставляют организациям потенциальные преимущества, такие как улучшение бизнес-результатов. Снижение рисков, связанных с использованием облачного сервиса, является совместной ответственностью организации (именуемой «держателем») и поставщика облачных услуг, в том числе его субподрядчиков (именуемых «CSP»). Однако в конечном счете ответственность за защиту данных и обеспечение их конфиденциальности, целостности и доступности несут организации.

Перед использованием облачных сервисов организациям необходимо провести оценку рисков и внедрить соответствующие меры по их снижению. Риски различаются в зависимости от таких факторов, как конфиденциальность и значимость данных, подлежащих хранению или обработке, способы внедрения облачного сервиса и управления им, предназначение облачного сервиса в организации, а также проблемы, связанные со своевременным обнаружением инцидентов и реагированием на них. Организациям необходимо сравнить эти риски с объективной оценкой рисков использования внутренних компьютерных систем, которые могут быть плохо защищены, не иметь достаточной доступности или не соответствовать современным бизнес-требованиям.

В этом документе описаны модели «облачная инфраструктура» (IaaS), «платформа как сервис» (PaaS) и «ПО как услуга» (SaaS), предоставляемые поставщиками облачных услуг в рамках публичного облака, кооперативного облака и, в меньшей степени, гибридного или внешнего частного облака.