IaaS, PaaS i SaaS: jak zmienia się zakres odpowiedzialności
Im więcej warstw przejmuje dostawca, tym mniej infrastruktury obsługuje klient. Nie znaczy to jednak, że odpowiedzialność za bezpieczeństwo i dane znika.
IaaS, PaaS i SaaS często przedstawia się jako trzy stopnie wygody. To prawda, ale ważniejsza różnica dotyczy tego, kto zarządza poszczególnymi warstwami systemu.
IaaS daje kontrolę i obowiązki
W modelu Infrastructure as a Service dostawca udostępnia podstawowe zasoby, takie jak moc obliczeniowa, storage i sieć. Klient może instalować system operacyjny i aplikacje. Ta swoboda oznacza również konieczność dbania o aktualizacje, konfigurację, uprawnienia i wiele elementów ochrony systemu.
PaaS przesuwa granicę wyżej
Platform as a Service pozwala wdrażać aplikacje bez zarządzania częścią infrastruktury i systemu. Zespół może skupić się na kodzie, danych i konfiguracji aplikacji. To jednak nadal nie zwalnia z kontroli dostępu, zarządzania sekretami, bezpiecznego kodu czy właściwego ustawienia usług.
SaaS nie oznacza braku odpowiedzialności użytkownika
W Software as a Service większość stosu technicznego utrzymuje dostawca. Użytkownik nadal podejmuje decyzje dotyczące kont, ról, udostępniania danych, integracji, retencji i sposobu logowania. Błąd w tych obszarach może wystąpić nawet wtedy, gdy sama platforma działa prawidłowo.
CISA podkreśla model współdzielonej odpowiedzialności. Dostawca ma własne obowiązki, ale klient musi wiedzieć, które zabezpieczenia pozostają po jego stronie. Granica nie jest identyczna u wszystkich dostawców i może zależeć od konkretnej usługi.
Najważniejsze pytanie brzmi „kto robi co?”
Zamiast zakładać, że SaaS jest zawsze bezpieczniejszy, a IaaS zawsze bardziej ryzykowny, warto rozpisać zadania. Kto aktualizuje system? Kto ustawia MFA? Kto odpowiada za kopie? Kto przechowuje logi? Kto odtwarza dane po błędzie administratora?
Model usługi pomaga odpowiedzieć na te pytania, ale nie zastępuje dokumentacji konkretnego rozwiązania.
Usługa zarządzana przesuwa odpowiedzialność, ale jej nie usuwa
W jednym projekcie baza danych może działać na własnej maszynie wirtualnej, a w innym jako usługa zarządzana. W drugim przypadku dostawca przejmie część obowiązków związanych z systemem, aktualizacjami i dostępnością platformy. Klient nadal decyduje jednak, kto może łączyć się z bazą, jakie dane do niej trafiają i jak długo są przechowywane.
Podobnie działa warstwa zarządzania, czyli control plane. Dostawca może zabezpieczyć sam mechanizm, lecz nadanie zbyt szerokich uprawnień kontu administratora pozostaje decyzją klienta. Im wyższy poziom abstrakcji usługi, tym ważniejsze stają się tożsamość, konfiguracja i kontrola dostępu.