Shared Responsibility ccloud³ / Compute Engine

1. Einleitung

Das Shared Responsibility Model (SRM) beschreibt die Aufteilung der Verantwortlichkeiten zwischen der centron GmbH, Heganger 29, 96103 Hallstadt („Anbieter“) und dem Kunden bei der Nutzung von ccloud³ sowie der centron Compute Engine (virtuelle Maschinen).

Eine sichere Nutzung von Cloud-Services setzt voraus, dass sowohl Anbieter als auch Kunde ihre jeweiligen Verantwortlichkeiten verstehen und erfüllen. Der Anbieter stellt die zugrunde liegende Infrastruktur bereit und sichert diese, während der Kunde für die Sicherheit und Konfiguration seiner eigenen Workloads verantwortlich ist.

Wie bei Infrastructure-as-a-Service (IaaS) üblich, übernimmt der Kunde einen wesentlichen Teil der Verantwortung innerhalb der bereitgestellten Umgebung.

2. Grundprinzip

Der Anbieter ist verantwortlich für die Sicherheit der Cloud-Infrastruktur, insbesondere:

• physische Rechenzentren
• Hardware und Virtualisierungsschicht
• Netzwerk-Infrastruktur
• grundlegende Plattformdienste

Der Kunde ist verantwortlich für die Sicherheit in der Cloud-Instanz, insbesondere:

• Betriebssystem
• Anwendungen
• Daten
• Benutzerzugriffe

Dieses Modell folgt dem Grundsatz, dass der Anbieter die Plattform betreibt, während der Kunde für die Nutzung und Absicherung seiner Daten verantwortlich bleibt.

3. Datensicherheit

Der Kunde ist verantwortlich für die Sicherung aller Daten, die er innerhalb von ccloud³ Compute Engine speichert oder verarbeitet.

Insbesondere wird empfohlen:

• Zugangsdaten zum centron Account zu schützen
• Benutzerkonten getrennt zu verwalten
• geeignete Zugriffskontrollen zu implementieren
• Daten angemessen zu verschlüsseln

Der Anbieter stellt die Plattform und Sicherheitsmechanismen zur Verfügung, übernimmt jedoch keine Verantwortung für die Inhalte in den Instanzen oder deren Schutz.

4. Betriebssystem und Systemkonfiguration

Der Kunde ist vollständig verantwortlich für:

• Installation und Wartung des Betriebssystems
• Einspielen von Sicherheitsupdates und Patches
• Systemhärtung und Konfiguration
• Verwaltung von Benutzerkonten und Zugriffsrechten

Die bereitgestellten Compute-Instanzen entsprechen funktional virtuellen Servern, die vom Kunden eigenständig betrieben werden.

5. Netzwerk- und Zugriffssicherheit

Der Kunde ist verantwortlich für die Konfiguration der Netzwerksicherheit innerhalb seiner Instanzen, insbesondere:

• Konfiguration von Firewall-Regeln
• Zugriffsbeschränkungen (z. B. IP-Whitelist)
• Absicherung von offenen Ports
• Schutz vor unbefugtem Zugriff

Der Anbieter stellt grundlegende Netzwerkmechanismen bereit, übernimmt jedoch keine Verantwortung für kundenseitige Fehlkonfigurationen.

6. Logging und Monitoring

Der Anbieter stellt grundlegende Infrastruktur bereit, bietet jedoch keine vollständige Verantwortung für Logging innerhalb der Instanzen.

Der Kunde ist verantwortlich für:

• Einrichtung von Monitoring-Lösungen
• Überwachung von Systemzuständen
• Analyse von Logs
• Erkennung von Sicherheitsvorfällen

Ohne geeignete Monitoring-Maßnahmen kann der Kunde Sicherheitsvorfälle oder Fehlkonfigurationen möglicherweise nicht rechtzeitig erkennen.

7. Compliance und Zertifizierungen

Dies kann insbesondere beinhalten:

• Auditierungen durch unabhängige Dritte
• Einhaltung von Branchenstandards

Der Kunde ist selbst dafür verantwortlich, sicherzustellen, dass seine Nutzung der Dienste den für ihn geltenden regulatorischen Anforderungen entspricht.

Die Nutzung einer zertifizierten Infrastruktur unterstützt die Compliance des Kunden, ersetzt jedoch nicht dessen eigene Verpflichtungen.

8. Verfügbarkeit und Betrieb

Der Anbieter ist verantwortlich für:

• Betrieb und Verfügbarkeit der Infrastruktur
• Stabilität der Virtualisierungsplattform
• Netzwerkanbindung und Rechenzentrumsbetrieb

Der Kunde ist verantwortlich für:

• Hochverfügbarkeit seiner Anwendungen
• Redundanz und Skalierung
• Backup-Strategien
• Wiederherstellungsprozesse

Der Anbieter stellt die technische Grundlage bereit, während der Kunde für die Ausfallsicherheit seiner Anwendungen verantwortlich bleibt.

9. Zusammenfassung der Verantwortlichkeiten

Der Anbieter stellt eine sichere und stabile Infrastruktur bereit und schützt die zugrunde liegenden Systeme.

Der Kunde ist verantwortlich für die sichere Nutzung dieser Infrastruktur, insbesondere für:

• Konfiguration und Betrieb
• Zugriffskontrollen
• Daten und Secrets
• Anwendungen

Die Sicherheit in der Cloud ist somit eine gemeinsame Verantwortung, bei der beide Parteien klar definierte Aufgaben erfüllen müssen.