Le modèle de responsabilité partagée d'AWS

Le modèle de responsabilité partagée établit une distinction claire : AWS sécurise le cloud lui-même, et vous sécurisez ce que vous y placez. Apprenez cela avant toute autre chose.

AWS prend en charge la security OF the cloud : centres de données, matériel, réseau et couche de virtualisation. Vous ne corrigez jamais un hyperviseur et ne surveillez jamais la porte d’un bâtiment.

Vous prenez en charge la security IN the cloud : vos données, votre identité, vos règles réseau, vos systèmes d’exploitation et le code de vos applications. Si vous laissez un compartiment public, c’est votre responsabilité, pas celle d’AWS.

La frontière varie selon le service. Avec EC2, vous gérez l’OS invité ; avec les services gérés ou sans serveur, AWS prend davantage en charge la gestion. Mais vos données et vos accès vous appartiennent toujours.

Avec une solution IaaS comme EC2, la majeure partie du travail vous revient : correctifs de l’OS, pare-feu et sécurité des applications. Les services gérés et sans serveur transfèrent une plus grande partie de ces tâches à AWS.

Quel que soit le service, vos données vous appartiennent toujours, ainsi que la gestion des personnes qui peuvent y accéder. AWS ne décide jamais à votre place des politiques de vos compartiments, des autorisations ou du chiffrement.

Un piège classique de l’examen : qui applique les correctifs à quoi ? Sur EC2, vous corrigez l’OS invité ; AWS corrige l’hôte et l’hyperviseur. Les services gérés transfèrent davantage de cette responsabilité à AWS.

Vous héritez de certains contrôles d’AWS — notamment les contrôles physiques et environnementaux, étayés par des attestations comme les rapports SOC. Vous ajoutez ensuite vos propres contrôles par-dessus.

AWS fournit des composants de base sécurisés, mais les paramètres sécurisés par défaut ne sont pas garantis. Le chiffrement peut être disponible sans être imposé : c’est à vous de l’activer.

De nombreuses questions du SCS-C02 demandent qui est responsable. Le matériel ou le réseau mondial ? C’est AWS. Une autorisation, une ressource publique ou un OS non corrigé ? C’est vous.

Considérez cela comme un partenariat avec une frontière bien définie : AWS fournit une base sécurisée et le prouve ; vous construisez dessus de manière sécurisée grâce à l’identité, au chiffrement et à l’application des correctifs.

Appliquez le modèle de responsabilité partagée.

AWS sécurise le cloud (matériel, centres de données, hyperviseur) ; vous sécurisez ce qui se trouve dans le cloud (données, identité, réseau, OS invité). La plupart des scénarios de responsabilité se résolvent ainsi.