Proč je model sdílené odpovědnosti klíčový
Model sdílené odpovědnosti vymezuje hranici mezi tím, za co odpovídá poskytovatel cloudových služeb (CSP), a za co zákazník (uživatel cloudu). Bez jasného rozdělení povinností vznikají bezpečnostní mezery, které patří mezi nejčastější příčiny incidentů v cloudu. Cílem tohoto článku je vysvětlit principy modelu napříč IaaS, PaaS, SaaS i novějšími službami (kontejnery, serverless, spravované databáze, AI), včetně praktických doporučení, metrik a kontrolních seznamů.
Základní princip: kdo spravuje „zdi“ a kdo „obsah“
Poskytovatel obvykle zabezpečuje fyzickou infrastrukturu, virtualizační vrstvu a základní platformní služby. Zákazník zabezpečuje konfiguraci účtů a identit, data, aplikace a procesy jejich správy. Hranice odpovědnosti je dynamická: čím více je služba „spravovaná“, tím více přechází odpovědnost na poskytovatele, avšak odpovědnost za data a jejich užití zůstává vždy na zákazníkovi.
Rozdíly podle servisního modelu: IaaS, PaaS, SaaS
- IaaS – CSP spravuje datacentrum, síť, hypervizor a hardware. Zákazník spravuje operační systémy virtuálních strojů, kontejnery, middleware, aplikace, data, identity a síťové politiky v rámci tenanta.
- PaaS – CSP dále zajišťuje runtime prostředí, databázový engine, škálování. Zákazník konfigurují síťové přístupy, šifrování, identity, parametry služby a odpovídá za bezpečný aplikační kód, správu tajemství a data.
- SaaS – CSP spravuje aplikaci i platformu. Zákazník nastavuje přístupová práva, politiky sdílení, DLP, integrace a audit a nese odpovědnost za obsah, konfiguraci, dodržování compliance a životní cyklus uživatelů.
Specifika pro kontejnery a Kubernetes
- Managed Kubernetes – CSP spravuje control plane, zákazník spravuje worker nody (pokud nejsou plně spravované), síťové politiky, RBAC, image, tajemství, admission kontroly a security kontext podů.
- Docker obrazy – zákazník odpovídá za SBOM, skenování zranitelností, podepisování (např. Sigstore), minimalizaci základního image a rotaci tajemství.
- Multi-tenancy – izolace pomocí namespace nestačí; u citlivých workloadů je vhodnější použít dedikované clustery nebo sandboxing na úrovni podů.
Serverless a „plně spravované“ služby
U funkcí a spravovaných databází či front CSP spravuje operační systém, runtime prostředí, škálování a patchování. Zákazník spravuje triggery, politiky přístupu (IAM), validaci vstupů, síťové konfigurace typu perimeter-less (VPC vazby), kryptografii dat a logování. Přestože se provozní zátěž snižuje, roste význam konfigurace a správného používání služeb.
Identity a přístup: dlouhodobé klíče vs. krátkodobé tokeny
- Odpovědnost CSP – dostupnost a bezpečnost IAM služby, kryptografické primitivy.
- Odpovědnost zákazníka – dodržování principu nejmenších oprávnění, přiřazování rolí přes skupiny, absolutní minimální užívání statických klíčů, MFA, passkeys, Just-In-Time (JIT) přístupy, oddělení prostředí produkce a testování, správa strojových identit a rotace tajemství.
- Pokročilé řízení – využití CIEM pro analýzu nadměrných oprávnění, implementace policy-as-code a guardrails v pipeline.
Data: klasifikace, šifrování a klíče
- Klasifikace – rozdělit data na veřejná, interní, citlivá a regulovaná a aplikovat vhodné DLP a retenční politiky.
- Šifrování v klidu a při přenosu – zapnout vždy, preferovat správu klíčů v KMS/HSM; u vysoce citlivých dat zvážit BYOK nebo HYOK.
- Správa klíčů – pravidelná rotace, oddělení rolí, audit přístupů, ochrana proti náhodné deletaci klíčů, testování obnovitelnosti záloh.
Síť a segmentace v cloudu
CSP poskytuje základní izolaci tenantů a regionální separaci. Zákazník navrhuje topologii VPC/VNet, subnety, security groups, síťové ACL, privátní endpointy, WAF, rate-limiting, DDoS plány a mikrosegmentaci mezi workloady. Princip Zero Trust znamená ověřování identity, kontextu a stavu zařízení při každém spojení, i uvnitř cloudu.
Konfigurace služeb: nejčastější zdroj rizika
- Otevřené storage buckety – zákazník odpovídá za politiky, blokování veřejného přístupu a šifrování.
- Exponovaná management rozhraní – vyžadovat privátní přístup, PAM a schvalování změn.
- Nadměrná oprávnění IAM – zavést recertifikaci přístupů a automatizované kontroly.
DevSecOps a bezpečnost dodavatelského řetězce
- Pipeline – skenování kódu (SAST), závislostí (SCA), běhové testy (DAST), integrační testy a policy gates.
- Artefakty – podepisování, SBOM, repozitáře s politikou důvěry a karantény.
- Infra-as-Code – OPA/policy-as-code, skenování Terraform/ARM/CloudFormation před nasazením, detekce driftu.
Observabilita, logy a forenzní analýza
CSP zajišťuje telemetrii platformy a auditní stopy. Zákazník musí centralizovat logy (SIEM), povolit detailní audit pro kritické služby, nastavit retenci, nepopiratelnost (WORM/immutable), definovat detekční pravidla (MAP na MITRE ATT&CK) a pravidelně testovat forenzní postupy (izolace instancí, snapshoty, export logů).
BC/DR: dostupnost, zálohy a regionální strategie
- Dostupnost – využívat zónovou redundanci, multi-region architektury a automatické škálování.
- Zálohování – strategie 3-2-1-1-0, test obnovy, oddělená backup doména, ochrana proti ransomwarovému mazání.
- RTO/RPO – měřitelné cíle s pravidelnými cvičeními, dokumentovaný runbook a definované odpovědnosti.
Compliance a regulace
CSP poskytuje certifikace (ISO/IEC 27001, SOC 2, PCI DSS, HIPAA aj.) a sdílené artefakty (reporty, auditní záznamy). Zákazník nese odpovědnost za mapování kontrol na konkrétní použití, Data Processing Agreements, lokalitu dat, privacy-by-design a řízení práv subjektů údajů. V multi-cloudu je nezbytné sladit rozdílné implementace kontrol.
RACI a smluvní vymezení
Pro každou službu je nutné vypracovat RACI matici (Responsible, Accountable, Consulted, Informed). Smluvně ošetřit SLA (dostupnost, podpora), zodpovědnost za incidenty, oznamovací lhůty, penetrační testy a pojistné krytí. V rámci organizace definovat jasná rozhraní mezi týmy SecOps, DevOps, NetOps, FinOps.
Model sdílené odpovědnosti pro AI a data science
- Poskytovatel – zabezpečení trénovací infrastruktury, izolace tenantů, dostupnost modelových endpointů.
- Zákazník – governance dat, ochrana proti data leakage, řízení prompt injection, filtrování výstupů, správa API klíčů, validace výsledků a audit experimentů.
Rozšíření: „shared fate“ a odpovědnost za výsledek
Někteří poskytovatelé rozvíjejí koncept shared fate, který kromě sdílené odpovědnosti nabízí guardrails, šablony a automatizované kontroly, jež snižují riziko chyb konfigurace. Zákazník však i nadále nese odpovědnost za správné použití (enablement, governance, dohled a reakci).
Metriky zralosti a průběžné vyhodnocování
- Pokrytí kontrol – procento služeb, které mají povolené cloud-native bezpečnostní funkce (šifrování, audit, privátní endpointy).
- MTTD/MTTR – doba do detekce a nápravy incidentů v cloudu.
- Drift a odchylky – měsíční počet odhalených a uzavřených případů config driftu.
- Skóre least privilege – míra nadměrných oprávnění podle CIEM.
- Test obnovy – frekvence a úspěšnost DR cvičení, procento kritických workloadů s ověřeným RTO/RPO.
Bezpečnostní nástroje a automatizace
- CSPM – průběžná kontrola konfigurací a souladu (misconfig, veřejná expozice, šifrování, tagování).
- CIEM – analýza a náprava nadměrných oprávnění IAM.
- CWPP – ochrana workloadů (VM, kontejnery, serverless) za běhu, hardening a detekce nežádoucího chování.
- DSPM – data security posture management pro objevování, klasifikaci a řízení rizik dat napříč cloudy.
- Infra-as-Code skenery – prevence chyb před nasazením, policy-as-code jako brány v CI/CD pipeline.
Typické scénáře a hraniční případy
- Marketplace image – kdo patchuje? Pokud není explicitně „managed“, patchování OS je na zákazníkovi.
- Managed databáze – CSP patchuje engine; zákazník nastavuje síť, šifrování, přístup, audit a logiku obnovy.
- Bring Your Own License – odpovědnost za licenční compliance a bezpečný deployment nese zákazník.
- Cross-region replikace – CSP zajišťuje mechanismy, zákazník rozhoduje o geo-compliance a konsistenci dat.
Incident response v cloudu
Plán reakce na incidenty (IR) musí reflektovat API-first přístup: izolaci prostředí (tagy, politiky), záchytné snapshoty, spolupráci s CSP podporou, právní a compliance kroky, notifikaci zákazníků a rotaci klíčů. Klíčová je viditelnost (telemetrie), automatizace (playbooky, SOAR) a kontrolovaná cvičení (table-top, purple teaming).
Kontrolní seznam minimálních opatření
- Zapnout výchozí šifrování a audit u všech služeb; logy směrovat do centrálního SIEM s immutable úložištěm.
- Implementovat MFA/Passkeys a princip least privilege s pravidelnou recertifikací přístupů; omezit užívání statických klíčů.
- Nastavit privátní konektivitu a WAF/DDoS ochranu pro veřejné služby; mikrosegmentaci uvnitř cloudu.
- Nasadit CSPM/CIEM/CWPP/DSPM a policy-as-code v CI/CD pipeline; skenovat IaC a kontejnery.
- Upravit zálohování a DR se testy obnovy, oddělenou doménou a ochrannými rolemi.
