Responsabilité partagée dans les services cloud

Comprendre l’enjeu et le périmètre

Elle évite de laisser sans responsable les accès, sauvegardes, journaux ou contrôles que chacun suppose couverts par l’autre.

Couvrir infrastructure, systèmes, applications, données, identités, configurations, incidents et récupération.

Passer à l’action

• Lire les engagements du service retenu
• Attribuer chaque contrôle à un responsable
• Vérifier les preuves et procédures correspondantes

Formalisez qui configure, qui surveille et qui restaure chaque couche. Selon le service, une partie des tâches change de main, mais les données, les identités et la configuration de l'usage restent des sujets à traiter. Reliez chaque abonnement à un propriétaire et à un budget.

Responsabilités et moyens

La DSI et la sécurité répartissent les contrôles, achats clarifie les engagements, et le fournisseur apporte les preuves prévues.

Inclure les contrôles restant au client, l’assistance et les options réellement nécessaires.

Produire et vérifier

Livrable utile

Une matrice de responsabilités et un catalogue des contrôles côté client et fournisseur.

Preuve à rechercher

Choisir un incident concret et vérifier qui détecte, décide, intervient, communique et restaure.

Indicateur à interpréter

Suivre contrôles sans responsable, preuves indisponibles et écarts entre contrat et configuration.

Testez la restauration dans un environnement distinct et avec les accès prévus pour une crise. Examinez les dépendances entre régions, comptes, clés et services d'identité. Une copie située ailleurs peut rester dépendante du même plan de contrôle.

Arbitrages et dépendances

Un client peut croire que toutes ses données sont sauvegardées alors que le fournisseur ne garantit qu’un niveau de disponibilité du service.

Le partage dépend du modèle de service, de la région, des options et du contrat exacts.

Comparez les options sur la disponibilité, la sécurité, l'exploitation et la sortie autant que sur le prix affiché. Incluez les transferts, le support, les environnements de test et le temps des équipes. La portabilité d'un conteneur ne garantit pas celle des services managés associés.