SAP ERP云 | 安全责任共担模型
根据 Gartner 的最新预测，到2023年，最终用户在公共云服务上的支出将达到近6000亿美元。到2026年，企业 IT 预算的45%将花在云服务上。云是企业数字化转型的重要驱动力，到今天，可以说企业核心应用”上云是新常态，不上云是例外”。
但是，部分企业在上云的时候，却没能充分考虑到安全问题。甚至有一部分上云客户误以为把本地部署的应用简单迁移到云上之后，安全问题便是云平台方的责任，与自身无关, 就可以高枕无忧了。其实，这些都是不对的。根据 Gartner 的预测, "Through 2025, 99% of cloud security failures will be the customer’s fault" 到 2025年，99%的云安全事故是由客户的错误导致的。只要使用云服务的企业没能协同完成属于自己那部分的责任，云安全事故就依然会发生, 数据泄露的责任和后果也需要企业自身承担。
接下来，本文就带您了解云服务的不同模式，以及不同模式下云安全责任共担模型，了解责任共担的分界线，选择更加适合的上云路径，从而实现安全上云，降低安全运营成本，保护应用和数据安全。
云服务模式
根据 NIST 的定义，云计算分为三种服务模式：
基础设施即服务 Infrastructure as a Service (IaaS)
IaaS 服务提供弹性可扩展的基础设施服务，例如计算，存储，网络和其他基础计算资源。用户可以在云基础设施上部署任何软件，包括操作系统、数据库、中间件和应用系统等。用户不管理或控制底层云基础设施，但可以控制操作系统、存储和部署的应用程序；并且可以有限度的对选定的网络组件（例如主机防火墙）进行管理。
IaaS 服务具备技术密集型和资本密集型双重特点，市场集中度很高，从全球来看几家大型云服务提供商（Cloud Service Provider，后文简称 CSP）如 AWS，微软 Azure，谷歌 GCP，阿里云等占据了主要市场份额，并随着时间推移，呈现出集中度越来越高的趋势。
SAP 不提供 IaaS 服务，SAP 专注于提供更好的 PaaS/SaaS 解决方案，提供给客户更多部署选择，做大生态圈，帮助客户在转型过程中保持敏捷、降低 TCO。
平台即服务 Platform as a Service (PaaS)
PaaS 说的直白一点就是“中间件” 即服务。PaaS 平台在云架构中位于中间层，其上层是 SaaS，其下层是 IaaS。PaaS 平台一般提供开放的运行时环境，托管的数据库及存储服务，开放的集成服务，提供友好的开发工具和开发环境，能够自动调度各种底层资源，具备可伸缩性，并具备管理和监控能力。开发人员可以利用 PaaS 平台的资源和编程工具来创建和控制基于云计算的应用，专注于实现业务逻辑的代码，而不是底层资源和框架。PaaS 面向的主要用户是 IT 开发人员。例如 SAP BTP 业务技术云平台就是一种典型的 PaaS 服务。
软件即服务 Software as a Service (SaaS)
通过 SaaS 这种服务模式，用户只要连上网络，通过浏览器，就能直接使用在云端上运行的应用，而不需要顾虑类似安装部署，运维等琐事，并且免去初期高昂的软硬件投入。SaaS 通常运行在 IaaS 或 PaaS 上，用户不需要管理或控制底层基础设施包括网络、服务器、操作系统、存储等资源。SAP S/4HANA Cloud（SAP ERP 云）, Ariba，SuccessFactor, SAP Customer Experience (CX) 等就是典型的 SaaS 应用。
云服务模式与安全责任共担模型
无论是IaaS、PaaS、还是 SaaS 模式，安全责任总是分为两部分，一部分由云服务提供商 CSP 承担，另一部分则由云上客户来承担。目前，云安全责任共担模式在业界已经达成共识。亚马逊 AWS、微软 Azure，华为云，阿里云等 CSP 均采用了与用户共担风险的安全策略。
Shared responsibility model in cloud security
不同的云服务模式，用户和云服务提供商 CSP 承担的安全职责也不同。
本地部署模式：客户承担所有的安全责任，负责从物理基础设施到上层应用的所有层面的安全体系构建。
IaaS 模式：CSP 负责数据中心的物理安全，负责安保人员、监控摄像头、运动探测器、生物识别或授权人员门卡等访问控制，以及其他措施来防止设备和数据中心设施受到损害。同时负责云基础设施组件，例如服务器，虚拟化层、磁盘和网络的安全。IaaS 用户通常负责运行其应用程序所需的操作系统、运行时、中间件和上层应用的安全，并确保数据合规。
PaaS 模式：CSP 承担了更大的责任，从基础设施延伸到操作系统、中间件和应用平台。但用户仍对平台上生成的任何代码或数据（或其他内容）的安全性负责。
SaaS 模式：CSP 几乎负责安全的各个方面，从底层基础设施、中间件到应用程序。用户仍然承担一些安全责任，例如保护登录账号免受网络钓鱼或社会工程学攻击，确保录入的数据合法合规等。
SAP ERP 云-安全责任共担模型
SAP ERP 云部署在由 SAP 选择的公有云 IaaS 数据中心（通常称之为 Hyperscaler 数据中心），截至本文发稿时，国内使用的是世纪互联运营的微软 Azure 数据中心, AWS 中国数据中心也在按计划推进中。
在公有云 IaaS 上，订阅号或账号是个逻辑容器，每个订阅号是一个独立的计费单元，享有独立的资源以及安全边界。SAP 为每个客户创建独立的订阅号，为每个客户创建独立的计算资源、存储资源和虚拟网络环境。每个客户的SAP应用系统实例和数据库也是完全独立的，这也被称为“单租户模式”。在系统部署时，使用客户内网IP地址和客户指定的域名，对客户方的终端用户来说，如同访问内部应用。单租户架构，完全支持客户个性化的流程配置并允许二次代码开发，甚至可以修改标准代码，这样就使得 SAP ERP 云在具备云的特质的同时，具备足够的灵活性。
SAP ERP 云-安全责任共担模型：
SAP 安全职责
SAP 作为单一责任主体，负责从基础设施到 SAP Basis 应用层的全方位安全运维（涉及 IaaS 层的安全也由 SAP 负责，客户不需要和 IaaS 服务商打交道），SAP 承担的主要安全职责如下：
基于最佳实践，设计平台架构，并按照安全基线进行部署实施
数据备份与恢复、高可用、异地灾备与业务连续性管理
数据存储、备份、传输加密
网络安全、防火墙、子网、网络安全组、ACL 策略实施
WAF 防火墙、入侵检测、DDOS 防护
恶意软件防护、防病毒、防木马、防勒索软件
常态化的漏洞扫描，评估，安全补丁验证，安全补丁实施（包含操作系统，数据库，SAP 应用）
渗透测试、防御黑客攻击
7*27安全运维与监控，实时收集分析各类安全事件与日志，并及时消除安全风险
云服务安全与合规审计
数据泄漏通知
客户安全职责
应用层账号及权限管理
身份认证与访问控制
应用层变更控制及自开发代码安全
数据合规与隐私保护
终端安全
SAP云服务的安全价值
本地部署面临的安全威胁
近些年来，网络安全威胁日益突出，各类安全事件不断涌现，企业面临的常见威胁如下：
架构设计：架构设计不合理，高可用及容灾设计不合理，缺乏韧性。或疏于管理，没有业务连续性计划，一旦发生故障，导致关键应用不可用，造成长时间业务中断。
外部黑客攻击：黑客利用各类网络设备、操作系统、数据库、应用软件和Web网站漏洞攻击系统；或者利用钓鱼邮件、钓鱼网页等社会工程学方法进行欺诈攻击，窃取数据。
恶意内部人士：堡垒往往是从内部攻破的，内部恶意人士掌握更多信息，具备更大的权限，一旦攻击关键应用，造成的后果往往更严重。
勒索软件：勒索软件通常会将用户数据或系统进行加密和锁定，导致数据或设备不可用。然后向用户索要比特币或其他赎金。
数据丢失：数据备份不合理或不充分，缺乏必要的数据恢复演练流程，导致出现故障时，发现数据不可恢复，进而造成数据丢失。
数据泄漏：错误的安全策略配置，权限管理失控，API 鉴权失效，数据未加密常常导致数据泄漏。
安全检测能力不足：缺乏专业的安全人员和技能，缺乏专业的 SIEM 安全信息及事件管理平台，不能及时发现问题，甚至系统被黑，数据泄漏之后，很多受害企业对此还一无所知。
同时，全球范围内对数据安全合规的要求变得日益严苛。目前，已经有100多个国家和地区制定了数据和个人信息保护相关的法律法规。欧盟《GDPR 通用数据保护条例》是个人信息保护的首个重要立法，紧随其后的还有《LGPD 巴西通用个人数据保护法》和《CCPA 加州消费者隐私法案》等，这些法律普遍的特征就是长臂管辖，且违规成本很高。这对于全球运营的企业带来了更多挑战。
国内，《网络安全法》、《数据安全法》、《个人信息保护法》也相继出台，上述相关法律对企业的数据安全合规提出了更高要求。企业必须采取更多的技术和组织措施来保障数据安全及合规。
企业完全依靠自己的力量，自行管理整个技术栈，构建一套完善的安全防护体系，将面临着如下诸多成本：
SAP 云服务安全优势
简单的把本地部署应用迁移到云 IaaS上并不会大幅提升安全性（CSP 只负责基础设施层的安全，客户仍要负主要的安全职责）。
采用 SAP ERP 云 这样的 SaaS 以及配套的 BTP PaaS 服务，SAP 提供一站式服务，负责从基础设施到应用层的安全管理，并提供端到端的可用性 SLA 保证。SAP 全面负责处理主要的安全任务，如安全架构设计，安全监控，安全事件管理，漏洞扫描，渗透测试，补丁升级，24×7网络安全监控，独立的第三方安全审计等关键任务。借助 SAP 的专业安全服务能力和长期积累的云安全防护实践经验，保障企业核心应用和数据安全。
企业只需要负责应用层的账号及权限管理、身份验证及访问控制，并确保应用层录入的数据合规。通过这样的云安全责任共担模型，使企业能够专注于他们的核心应用以及业务能力的构建，从而极大降低客户的运营负担，在保障应用和数据安全的同时，大幅降低安全合规成本。
相关资源推荐
