隨著云計算使用不斷增加，數(shù)據(jù)保護和網(wǎng)絡(luò)安全的共同責(zé)任模式概念也在改變。雖然這并不是新概念，我們已經(jīng)與大多數(shù)外包共享安全責(zé)任多年，但共同安全責(zé)任的性質(zhì)已經(jīng)隨著云計算的出現(xiàn)而改變。在最近的白皮書中，微軟已經(jīng)明確表示支持云端共同責(zé)任，但并非所有共同責(zé)任模式都一樣。微軟表明定義數(shù)據(jù)分類和保護控制是客戶的責(zé)任，而提供商的責(zé)任包括通過云計算堆棧的流程，描述應(yīng)用和操作系統(tǒng)控制、網(wǎng)絡(luò)功能和底層主機基礎(chǔ)設(shè)施（包括管理程序、存儲組件、冗余和可擴展性工具等）。下面是微軟在其白皮書中描述的基本責(zé)任模型：
數(shù)據(jù)保護和分類：在所有模型中這都是客戶的責(zé)任；
端點和客戶端保護：除了在軟件即服務(wù)環(huán)境中責(zé)任共同承擔外，這都是客戶的責(zé)任。例如在使用微軟InTune時的移動設(shè)備安全；
身份和訪問管理：對于SaaS和平臺即服務(wù)（PaaS）產(chǎn)品，身份和訪問管理是共同責(zé)任，但在IaaS環(huán)境則是客戶的責(zé)任；
應(yīng)用水平控制：SaaS產(chǎn)品內(nèi)的應(yīng)用水平控制由提供商提供保護。PaaS產(chǎn)品是共同責(zé)任，而基礎(chǔ)設(shè)施即服務(wù)（IaaS）則需要客戶保護他們部署的應(yīng)用堆棧；
網(wǎng)絡(luò)控制：這非常有限，只有部分網(wǎng)絡(luò)配置在IaaS內(nèi)可用；提供商控制一切；
主機基礎(chǔ)設(shè)施：與網(wǎng)絡(luò)非常相似，底層計算堆棧完全由提供商管理--只有在IaaS環(huán)境，客戶可訪問或控制某些功能。
其他云服務(wù)提供商的共同責(zé)任模型
亞馬遜云計算服務(wù)提供類似的模型，他們將責(zé)任模型分為兩大類：云中的安全以及云的安全。云中安全是客戶的責(zé)任，這包括數(shù)據(jù)保護、身份和訪問管理、操作系統(tǒng)配置、網(wǎng)絡(luò)安全--訪問控制--以及加密。AWS負責(zé)基礎(chǔ)設(shè)施的底層部分，包括計算組件、存儲基礎(chǔ)設(shè)施、數(shù)據(jù)庫和網(wǎng)絡(luò)。
大多數(shù)其他云服務(wù)提供商遵循與微軟及亞馬遜相似的模型。CenturyLink的共同責(zé)任模型也指明安全編碼是其核心職責(zé)。谷歌并沒有描述其谷歌云計算平臺共同責(zé)任模型的文件，但他們在一個文檔中明確列出其云計算中的共同責(zé)任以滿足PCI DSS合規(guī)性。所有云服務(wù)提供商都完全負責(zé)其數(shù)據(jù)中心環(huán)境的物理安全。
共同責(zé)任模型缺少什么？
共同責(zé)任模型很少涵蓋的領(lǐng)域是安全流程和工作流程。例如，誰負責(zé)云計算中事件響應(yīng)的哪些方面？微軟試圖在另一份白皮書中解決這個問題，該白皮書主要描述了對事件響應(yīng)共同責(zé)任的概念。對于客戶的所有責(zé)任領(lǐng)域（例如在Azure IaaS云中運行的虛擬機），微軟不會執(zhí)行入侵監(jiān)測或事件響應(yīng)。對于微軟的責(zé)任領(lǐng)域，他們詳細介紹了所有團隊成員的角色和職責(zé)，以及每個階段的通知和通信，還有內(nèi)部事件響應(yīng)團隊采取的措施。
目前，大多數(shù)其他提供商在安全流程責(zé)任方面沒有提供任何文檔介紹，只有在查看合同后，客戶才會了解。希望更多的大型提供商會按照微軟的做法，記錄安全控制維護以及安全流程及工作流程所有方面的責(zé)任分配。
