责任共有模型（SRM）とは、クラウド服务プロバイダ（CSP）とその服务のエンドユーザーの間での契約を指します。CSPがクラウド運用のプラットフォームインフラストラクチャの責任を、エンドユーザーがクラウドプラットフォーム上で実行されているワークロードのセキュリティをそれぞれ確保する責任を負うというものです。
实际上，Gartner社は、CSPの顧客がこうした契約の内容を徹底的に理解する必要性を強調正在做。。CSPは完全なセキュリティを提供できないものとし、セキュリティ担当者がクラウドのセキュリティに対する責任範囲を把握しておく必要があると述べています。この警告は、ワークロードの全部や一部をクラウドに移行する段階にある組織に特に当てはまります。
クラウドを構築するアーキテクトにとっては、運用する環境に特定のセキュリティへの影響を考慮することが最も理想的です。これは、すべての関係者が、向云迁移において企業が負うリスクと責任を網羅的に把握する上で役立ちます。導入予定のCSPに関連するSRMの概念を理解していないと、CSPが特定の領域のセキュリティに責任を負っているという誤解が生じ、結果として、クラウド資産の設定ミスや不適切な保護を招く可能性があります。
SRMにおける自社の役割を理解することは、CSPに関する責任を果たすだけでなく、定期的な脆弱スキャンなどの云安全のベストプラクティスを実装・施行する上でも役立ちます。
以下では、代表的なCSPが自社の環境向けにSRMをどう定義しているかを説明します。組織固有のニーズに最も適したプロバイダを見つける上では、こうした情報を必ず知っておく必要があります。
このモデルでは、AWSがクラウドのセキュリティに責任を持ち、顧客がクラウドのセキュリティに責任を持つことを示正在做。。 AWS はインフラストラクチャの安全性の維持に責任を持ちますが、 加密 や ID およびアクセス管理 (IAM)、ゲスト OS へのパッチ適用、数据ベースの構成、従業員のサイバーセキュリティ トレーニングなどの IT 制御は顧客側の責任になります。
このモデルは、オンプレミス数据センターでは顧客がスタック全体を所有しており、顧客がクラウドに移行すると、責任の一部がMicrosoftに移行するというものです。これらの責任範囲は、スタックのデプロイメントのタイプに応じて異なります。
すべてのクラウド展開タイプにおいて、顧客は自分の数据とIDを所有し、こうした数据とID、オンプレミスの资源、管理するクラウドコンポーネントのセキュリティを保護する責任を負います。デプロイメントの種類に関係なく、顧客は常に以下の数据、エンドポイント、アカウント、アクセス管理の責任を負います。
このモデルは、顧客が使用する各服务と、各服务が提供する構成オプション、Google Cloudによる服务保護の内容について深く理解すること必要であるとしたもので、服务により構成プロファイルが異なり、最適なセキュリティ構成を決定するのが難しい場合もあります。
このモデルでは、顧客が自社のビジネスに必要なセキュリティや規制面での要件に加え、機密数据や资源の保護のための要件を熟知していると捉えられます。GCP（Google Cloud Platform）は、顧客が実質的にGCPに責任を転嫁する権利を購入できる「運命共同体 (shared fate)」という概念も導入正在做。。
其次，用于事业运营云模式的种类がSRMにどう影響するかを見てみましょう。以下に、CSPと顧客の責任範囲を記載します。
ここで重要な点は、下に進むにつれ、CSPが管理する責任範囲が広くなる点です。したがって、顧客の利便性と安心感は高まりますが、カスタマイズの余地は少なくなります。
CSP的责任范围:
顾客责任范围:
CSP的责任范围:
顾客责任范围:
CSP的责任范围:
顾客责任范围:
完全にカスタムビルドのオンプレミスインフラストラクチャの場合には、当然ながらユーザーが上記のすべてに責任を負うことになります。
SRMに通常含まれる内容をより技術的に要約すれば、クラウド環境で変更、追加、削除、再構成が可能なあらゆる内容については顧客が責任を負うものと言えるでしょう。クラウド運用の側面で顧客が変更できないものに関しては、CSPの側に管理責任がある可能性が高くなります。
ただし、上述のように、重複する領域が存在する可能性もあります。こうしたグレーの領域は共有管理領域とも呼ばれます。運用をできるだけスムーズに実行するには、CSPと顧客の両方がこの領域を詳細に把握しておく必要があります。例えば、AWSの場合、共有管理領域には、补丁管理、コードとしてのインフラストラクチャ（IaC）的设定管理，提高安全意识的训练等等。。こうした領域が「共有」とされる理由はどこにあるのでしょう。
具体的には、AWSはインフラストラクチャ内の欠陥にパッチを適用して修正する責任を負い、顧客はゲスト操作系统とアプリケーションにパッチを適用する責任を負います。同様に、AWSはインフラストラクチャの設定を維持しますが、独自の操作系统、数据ベース、アプリケーションの設定は顧客が責任を負います。
最後に、AWSとそのクラウド顧客の両方が、それぞれの従業員に提高安全意识的训练を提供する義務を負います。こうした共有管理領域を設けることで、CSPと顧客の双方が単独で責任を負う領域を保護する能力を強化することができます。
SRM的优点是向云迁移によってもたらされる利点に沿って明確に定義されています。顧客としてパートナーであるCSPと関わっていくことになるため、信頼できるパートナーを選ぶようにしましょう。
当然ながら、ベストプラクティスは組織固有のニーズによって異なります。以下では、強固なSRMを実現するための一般的なベストプラクティスを紹介します。