跳至主要內容

AWS 雲端安全

共同責任模型

概觀

安全與合規是 AWS 和客戶的共同責任。此共同模型有助於減輕客戶的操作負擔，因為從託管作業系統和虛擬化層的元件到服務運作的設施實體安全性都由 AWS 操作、管理和控制。客戶負責和管理訪客作業系統 (包含更新和安全性修補程式)、其他相關應用程式軟體，以及 AWS 提供的安全群組防火牆組態。客戶應審慎考量選擇的服務，因為根據使用的服務、這些服務與 IT 環境的整合及適用的法律和法規，所需負擔的責任各有不同。此共同的責任性質也提供允許部署的彈性和客戶控制。如下表所示，這種責任的區分通常稱為雲端「本身」的安全與雲端「內部」的安全。

Diagram illustrating the AWS shared responsibility model for security and compliance. The chart describes the division of security responsibilities between the customer (security 'in' the cloud: customer data, platform, applications, OS and firewall configuration, encryption, and traffic protection) and AWS (security 'of' the cloud: software, compute, storage, database, networking, hardware/infrastructure, regions, availability zones, edge locations).

了解 AWS 共同責任模式

AWS 負責保護執行 AWS 雲端中所提供的所有服務的基礎設施。此基礎設施由執行 AWS 雲端服務的硬體、軟體、聯網與設施組成。

客戶的責任依客戶選擇的 AWS 雲端服務而定。這會決定客戶在安全責任中必須執行的組態工作量。例如，Amazon Elastic Compute Cloud (Amazon EC2) 等服務分類為基礎設施即服務 (IaaS)，因此，需要客戶執行所有必要的安全組態和管理任務。部署 Amazon EC2 執行個體的客戶需負責管理訪客作業系統 (包含更新和安全性修補程式)、客戶在執行個體上安裝的所有應用程式軟體或公用程式，以及 AWS 在每個執行個體提供的防火牆組態 (稱為安全群組)。若是 Amazon S3 和 Amazon DynamoDB 等抽象服務，AWS 運作基礎設施層、作業系統和平台，客戶則存取端點以儲存及擷取資料。客戶負責管理其資料（包括加密選項），對其資產進行分類，以及使用 IAM 工具來套用適當的權限。

此客戶/AWS 共同責任模式也延伸適用於 IT 控制。就像 AWS 及其客戶需共同負擔操作 IT 環境的責任一樣，IT 控制的管理、操作和驗證也是共同的責任。AWS 透過管理部署在 AWS 環境中且之前可能由客戶管理的實體基礎設施相關控制，協助客戶減輕操作控制的負擔。因為每個客戶在 AWS 中的部署情況各不相同，所以他們可利用將特定 IT 控制的管理轉移至 AWS，藉此產生 (新的) 分散式控制環境。然後，客戶便可透過可用的 AWS 控制和合規文件，視需要執行控制評估和驗證程序。以下是由 AWS、AWS 客戶及/或雙方管理的控制範例。

客戶完全沿用自 AWS 的控制。

  • 實體和環境控制

同時適用於基礎設施層和客戶層，但內容或觀點完全不同的控制。在共同的控制，AWS 提供基礎設施的要求，而客戶必須在其使用 AWS 服務內提供自己的控制實作。範例包括：

  • 修補程式管理 – AWS 負責基礎設施內的漏洞修補和修正，但客戶需負責修補自己的訪客作業系統和應用程式。
  • 組態管理 – AWS 負責維護其基礎設施裝置的組態，而客戶負責設定自己的訪客作業系統、資料庫和應用程式。
  • 意識與培訓 – AWS 訓練 AWS 員工，而客戶必須訓練自己的員工。

根據客戶在 AWS 服務內部署的應用程式，完全由客戶負責的控制。範例包括：

  • 可能需要客戶在特定安全環境內路由或分區資料的服務和通訊保護或區域安全性。

在實務中應用 AWS 共同責任模式

客戶了解 AWS 共同責任模式以及通常在雲端營運中如何套用後，就必須判斷如何將其套用至其使用案例。客戶責任因許多因素而異，包括他們選擇的 AWS 服務和區域、服務與其 IT 環境的整合性，以及組織和工作負載適用的法律及規章。

下列作法有助客戶根據具體使用案例，判斷責任的分配情況：

頁面主題

開始使用

全部開啟

評估 AWS 安全、身分和合規服務，了解它们如何用來達成您的安全與合規性目標。

善用 Cloud Audit Academy 訓練課程，為您的內外部稽核團隊提供雲端專屬學習機會。

檢閱第三方稽核證明文件，以判斷可繼承的控制項，以及您仍需在環境中實施的必要控制項。

對您的 AWS 工作負載執行 Well-Architected 審查，評估落實安全性、可靠性及效能最佳做法的狀況。

探索包含獨立軟體開發廠商數千種軟體產品的數位型錄 AWS Marketplace 中可用的解決方案，可讓您輕鬆地尋找、測試、購買和部署在 AWS 上執行的軟體。

探索具有精深專業知識和經過驗證的客戶成功經驗之 AWS 安全能力合作夥伴，為從最初的移轉到日常管理的整個雲端採用階段提供保障。

考慮採用 AWS 雲端採用架構 (CAF) 及 Well-Architected 最佳做法，來規劃及執行您的大規模數位轉型。

回顧 AWS 服務說明文件安全性章節中，有關個別 AWS 服務所提供安全性功能與組態選項的資訊。

 

判斷內外部安全性及相關合規性要求與目標，並考量產業架構，例如 NIST 網路安全架構 (CSF) 和 ISO。