公有云带来的责任分担模式将给合规性带来哪些影响

Amazon Web Services (简称AWS)在云业务领域率先推出了责任分担模式，意味着服务供应商与云服务消费者需要共同为业务安全承担责任。一方面，AWS与其它云服务供应商负责确保云基础设施层面的安全性，而企业客户则对存在于云环境下的数据、网络、应用及操作系统进行保护。

很明显责任共享模式给安全性乃至合规性带来了巨大影响。因此，在探讨云环境下的合规性时，责任共享模式意味着：

• 您的云服务供应商负责对云基础设施进行合规保障。
• 您本身负责对云端的自有数据、网络、应用及操作系统进行合规保障。

下面我们将深入对此加以阐述。

云环境到底有何不同

在云环境当中，一切因素最终都将归结于所有权与控制权。云计算的灵活性、可扩展性及成本效益优势在带来诸多便利之外，也迫使企业客户放弃自己的部分所有权及控制权。为了充分发挥这种优势同时保持数据安全及系统兼容效果，供求双方都需要承担一部分责任。

以下为面对责任分担模式时，大家需要考虑的两项主要因素：

1. HIPAA要求商业伙伴签订合规性合约

在与任何遵循HIPAA合规性要求的企业建立商业合作时，我们都必须签订一份商业合作合约。人本质上讲，这意味着其将利用责任分担模式以实现合规性要求。如果其中一方企业未签订这一合约，则HIPAA建议大家拒绝与之建立合作。目前全部主流云服务供应商皆在服务中为客户提供HIPPA合规性保障。需要强调的是，这些协议往往只涵盖部分服务。因此大家必须关注以下要点：

尽管并非全部框架都需要采用这种正式协定的形式，但其基本概念同样适用于其它合规性遵循方式。例如，如果供应商无法对自身基础设施的PCI DSS标准做出直接且确切的描述，则可能意味着其不符合合规要求，这时大家应当继续物色其它更理想的供应方。

最后，如果您的云服务供应商缺乏合规保障能力，而事故又真实出现，那么大家恐怕只能自求多福了。

2.确保了解自己的责任所在

要使用各类公有云计算基础设施，大家首先需要了解自己需要为其中的哪些部分负责，从而满足合规性要求。以下为供应商需要负责的各大基本要素：

• 计算
• 存储
• 数据库
• 网络

供应商方面还需要负责其全球基础设施，其中包括位于各服务区、可用区以及边缘位置的服务器与其它硬件。

在另一方面，大家则需要负责以下要素的合规性保障：

• 平台
• 应用程序
• 身份与访问管理工具及流程
• 操作系统
• 网络
• 防火墙配置

不少企业认为，只要将应用程序交付AWS，Amazon就会为其承担全部责任。很明显，实际情况并非如此。大家必须认真研究个中区别，并掌握策略设置与实际情况间的关联。