責任共有モデル（SRM）とは、クラウドサービスプロバイダ（CSP）とそのサービスのエンドユーザーの間での契約を指します。CSPがクラウド運用のプラットフォームインフラストラクチャの責任を、エンドユーザーがクラウドプラットフォーム上で実行されているワークロードのセキュリティをそれぞれ確保する責任を負うというものです。
実際に、Gartner社は、CSPの顧客がこうした契約の内容を徹底的に理解する必要性を強調しています。CSPは完全なセキュリティを提供できないものとし、セキュリティ担当者がクラウドのセキュリティに対する責任範囲を把握しておく必要があると述べています。この警告は、ワークロードの全部や一部をクラウドに移行する段階にある組織に特に当てはまります。
クラウドを構築するアーキテクトにとっては、運用する環境に特定のセキュリティへの影響を考慮することが最も理想的です。これは、すべての関係者が、クラウドへの移行において企業が負うリスクと責任を網羅的に把握する上で役立ちます。導入予定のCSPに関連するSRMの概念を理解していないと、CSPが特定の領域のセキュリティに責任を負っているという誤解が生じ、結果として、クラウド資産の設定ミスや不適切な保護を招く可能性があります。
SRMにおける自社の役割を理解することは、CSPに関する責任を果たすだけでなく、定期的な脆弱性スキャンなどのクラウドセキュリティのベストプラクティスを実装・施行する上でも役立ちます。
以下では、代表的なCSPが自社の環境向けにSRMをどう定義しているかを説明します。組織固有のニーズに最も適したプロバイダを見つける上では、こうした情報を必ず知っておく必要があります。
このモデルでは、AWSがクラウドのセキュリティに責任を持ち、顧客がクラウドのセキュリティに責任を持つことを示しています。 AWS はインフラストラクチャの安全性の維持に責任を持ちますが、 暗号化 や ID およびアクセス管理 (IAM)、ゲスト OS へのパッチ適用、データベースの構成、従業員のサイバーセキュリティ トレーニングなどの IT 制御は顧客側の責任になります。
このモデルは、オンプレミスデータセンターでは顧客がスタック全体を所有しており、顧客がクラウドに移行すると、責任の一部がMicrosoftに移行するというものです。これらの責任範囲は、スタックのデプロイメントのタイプに応じて異なります。
すべてのクラウド展開タイプにおいて、顧客は自分のデータとIDを所有し、こうしたデータとID、オンプレミスのリソース、管理するクラウドコンポーネントのセキュリティを保護する責任を負います。デプロイメントの種類に関係なく、顧客は常に以下のデータ、エンドポイント、アカウント、アクセス管理の責任を負います。
このモデルは、顧客が使用する各サービスと、各サービスが提供する構成オプション、Google Cloudによるサービス保護の内容について深く理解すること必要であるとしたもので、サービスにより構成プロファイルが異なり、最適なセキュリティ構成を決定するのが難しい場合もあります。
このモデルでは、顧客が自社のビジネスに必要なセキュリティや規制面での要件に加え、機密データやリソースの保護のための要件を熟知していると捉えられます。GCP（Google Cloud Platform）は、顧客が実質的にGCPに責任を転嫁する権利を購入できる「運命共同体 (shared fate)」という概念も導入しています。
次に、事業運営に使われるクラウドモデルの種類がSRMにどう影響するかを見てみましょう。以下に、CSPと顧客の責任範囲を記載します。
ここで重要な点は、下に進むにつれ、CSPが管理する責任範囲が広くなる点です。したがって、顧客の利便性と安心感は高まりますが、カスタマイズの余地は少なくなります。
CSPの責任範囲：
顧客の責任範囲：
CSPの責任範囲：
顧客の責任範囲：
CSPの責任範囲：
顧客の責任範囲：
完全にカスタムビルドのオンプレミスインフラストラクチャの場合には、当然ながらユーザーが上記のすべてに責任を負うことになります。
SRMに通常含まれる内容をより技術的に要約すれば、クラウド環境で変更、追加、削除、再構成が可能なあらゆる内容については顧客が責任を負うものと言えるでしょう。クラウド運用の側面で顧客が変更できないものに関しては、CSPの側に管理責任がある可能性が高くなります。
ただし、上述のように、重複する領域が存在する可能性もあります。こうしたグレーの領域は共有管理領域とも呼ばれます。運用をできるだけスムーズに実行するには、CSPと顧客の両方がこの領域を詳細に把握しておく必要があります。例えば、AWSの場合、共有管理領域には、パッチ管理、コードとしてのインフラストラクチャ（IaC）の設定管理、セキュリティ意識向上トレーニングなどが含まれます。こうした領域が「共有」とされる理由はどこにあるのでしょう。
具体的には、AWSはインフラストラクチャ内の欠陥にパッチを適用して修正する責任を負い、顧客はゲストオペレーティングシステムとアプリケーションにパッチを適用する責任を負います。同様に、AWSはインフラストラクチャの設定を維持しますが、独自のオペレーティングシステム、データベース、アプリケーションの設定は顧客が責任を負います。
最後に、AWSとそのクラウド顧客の両方が、それぞれの従業員にセキュリティ意識向上トレーニングを提供する義務を負います。こうした共有管理領域を設けることで、CSPと顧客の双方が単独で責任を負う領域を保護する能力を強化することができます。
SRMの利点は、クラウドへの移行によってもたらされる利点に沿って明確に定義されています。顧客としてパートナーであるCSPと関わっていくことになるため、信頼できるパートナーを選ぶようにしましょう。
当然ながら、ベストプラクティスは組織固有のニーズによって異なります。以下では、強固なSRMを実現するための一般的なベストプラクティスを紹介します。