Bij cyberbeveiliging in de cloud geldt een gedeelde verantwoordelijkheid: de cloudprovider beveiligt de onderliggende infrastructuur, terwijl de organisatie zelf verantwoordelijk blijft voor de beveiliging van haar data, gebruikers en configuraties. Dit principe staat bekend als het shared responsibility model en is de kern van elk cloud security model. Wie precies wat beheert, hangt af van het type cloudoplossing dat je gebruikt. De vragen hieronder leggen het model stap voor stap uit.
Wie is verantwoordelijk voor beveiliging in de cloud?
De verantwoordelijkheid voor cloudbeveiliging is verdeeld tussen de cloudprovider en de organisatie die de clouddienst afneemt. De provider beveiligt de fysieke datacenters, de netwerkhardware en de hypervisors. De afnemende organisatie is verantwoordelijk voor alles wat zij zelf in de cloud plaatst: data, accounts, applicaties en toegangsbeheer.
Dit klinkt eenvoudig, maar in de praktijk leidt het gedeelde model tot verwarring. Veel organisaties gaan ervan uit dat de cloudprovider ook hun data en configuraties beschermt. Dat is een misverstand met grote gevolgen. Een cloudprovider als Microsoft Azure, AWS of Google Cloud garandeert de beschikbaarheid en integriteit van het platform, maar niet de veiligheid van wat jij als klant bovenop dat platform bouwt of opslaat.
Het shared responsibility model is daarmee geen technische voetnoot, maar een fundamenteel uitgangspunt voor iedereen die serieus met cyberbeveiliging in de cloud aan de slag gaat.
Wat valt buiten de verantwoordelijkheid van de cloudprovider?
Buiten de verantwoordelijkheid van de cloudprovider vallen alle lagen die de klant zelf beheert: gebruikersaccounts en wachtwoorden, toegangsrechten, configuraties van clouddiensten, de beveiliging van opgeslagen data en de applicaties die de organisatie zelf uitrolt. Datalekken door verkeerde instellingen zijn vrijwel altijd de verantwoordelijkheid van de klant, niet van de provider.
Concreet betekent dit dat de cloudprovider niet verantwoordelijk is voor:
- Onbeveiligde of openbaar toegankelijke opslagbuckets door foutieve configuratie
- Zwakke of hergebruikte wachtwoorden van gebruikers
- Het ontbreken van multifactorauthenticatie (MFA)
- Onversleutelde gevoelige data die de klant zelf opslaat
- Kwetsbaarheden in applicaties die de klant zelf heeft ontwikkeld of geïnstalleerd
- Ongeautoriseerde toegang via gestolen inloggegevens
De provider biedt wel tools en mogelijkheden om al deze zaken te beveiligen, maar het is aan de organisatie om die tools ook daadwerkelijk te activeren en correct in te stellen. De verantwoordelijkheid voor het gebruik van die beveiligingsfuncties ligt altijd bij de klant.
Hoe verschilt het model per cloudtype: IaaS, PaaS en SaaS?
Het cloud security model verschilt per cloudtype omdat de verdeling van beheertaken verschilt. Bij IaaS (Infrastructure as a Service) beheert de klant het meest en draagt daarmee ook de meeste beveiligingsverantwoordelijkheid. Bij SaaS (Software as a Service) beheert de provider bijna alles, maar blijft de klant verantwoordelijk voor toegangsbeheer en data. PaaS (Platform as a Service) zit hier tussenin.
IaaS: de klant beheert het meest
Bij IaaS, zoals een virtuele machine in Azure of AWS EC2, levert de provider de rekenkracht, opslag en netwerken. De klant installeert zelf het besturingssysteem, de applicaties en de beveiligingssoftware. Dat betekent dat patching, firewallconfiguratie en toegangsbeheer volledig bij de klant liggen. IaaS vraagt de meeste technische kennis en biedt de meeste vrijheid, maar ook de grootste beveiligingsverantwoordelijkheid.
PaaS: gedeeld maar genuanceerd
Bij PaaS, zoals Azure App Service of Google Cloud Run, beheert de provider het besturingssysteem en de runtime-omgeving. De klant ontwikkelt en implementeert de applicatie zelf. Beveiligingsverantwoordelijkheden zoals veilige code, authenticatie en databescherming blijven bij de klant. De provider zorgt voor de onderliggende platformbeveiliging.
SaaS: de provider beheert het platform, de klant beheert toegang
Bij SaaS, zoals Microsoft 365 of Salesforce, levert de provider de volledige applicatie. De klant heeft geen toegang tot de onderliggende infrastructuur. Toch blijft de klant verantwoordelijk voor wie toegang heeft tot de applicatie, welke rechten gebruikers hebben en hoe gevoelige data binnen de applicatie wordt beheerd. Een datalek door een gehackt account is ook bij SaaS de verantwoordelijkheid van de klant.
Welke beveiligingstaken blijven altijd bij de organisatie?
Ongeacht het cloudtype zijn er beveiligingstaken die altijd bij de organisatie zelf liggen. Identiteits- en toegangsbeheer, databescherming, naleving van wet- en regelgeving en bewustwording bij medewerkers zijn verantwoordelijkheden die nooit worden overgedragen aan een cloudprovider.
De beveiligingstaken die altijd bij de organisatie blijven, zijn:
- Identiteits- en toegangsbeheer: wie heeft toegang tot welke systemen en data, en op basis van welke rechten?
- Databescherming: versleuteling van gevoelige gegevens, zowel in rust als tijdens transport
- Naleving van regelgeving: denk aan de AVG, maar ook aan NIS2-verplichtingen die van toepassing kunnen zijn op jouw organisatie
- Incidentrespons: het detecteren van, reageren op en rapporteren van beveiligingsincidenten
- Bewustwording van medewerkers: phishing, social engineering en veilig gebruik van clouddiensten
- Configuratiebeheer: het correct instellen van cloudservices en het voorkomen van misconfiguraties
Juist op het gebied van regelgeving worden de eisen steeds strenger. De NIS2-richtlijn verplicht organisaties om aantoonbaar grip te hebben op hun digitale weerbaarheid, inclusief de beveiliging van cloudomgevingen en de toeleveringsketen. Wie clouddiensten inkoopt, moet ook kunnen aantonen dat de beveiligingsmaatregelen van die leveranciers op orde zijn.
Hoe breng je de gedeelde verantwoordelijkheid in kaart voor jouw organisatie?
De gedeelde verantwoordelijkheid in kaart brengen begint met een inventarisatie van alle clouddiensten die de organisatie gebruikt, gevolgd door het bepalen van het cloudtype per dienst en het vastleggen van welke beveiligingstaken bij de organisatie liggen. Dit vormt de basis voor een helder cloud security beleid.
Een praktische aanpak bestaat uit de volgende stappen:
- Inventariseer alle clouddiensten: maak een volledig overzicht van alle IaaS-, PaaS- en SaaS-oplossingen die de organisatie gebruikt, inclusief schaduw-IT
- Bepaal het cloudtype per dienst: classificeer elke dienst en leg de bijbehorende verantwoordelijkheidsverdeling vast
- Beoordeel de huidige beveiligingsmaatregelen: zijn MFA, versleuteling en toegangsbeleid correct ingericht voor elke dienst?
- Identificeer de gaten: waar ontbreken maatregelen of zijn configuraties niet op orde?
- Leg verantwoordelijkheden vast in beleid: zorg dat helder is wie binnen de organisatie verantwoordelijk is voor welke beveiligingstaken per clouddienst
- Herhaal dit proces regelmatig: cloudomgevingen veranderen snel, dus de inventarisatie moet periodiek worden bijgewerkt
Voor organisaties die meerdere clouddiensten combineren, is een continu bewakingsproces waardevol. Zo blijft de beveiligingsstatus actueel en worden nieuwe risico’s tijdig gesignaleerd.
Wat zijn de meest gemaakte fouten bij cloudbeveiliging?
De meest gemaakte fout bij cloudbeveiliging is het misverstand dat de cloudprovider ook de data en applicaties van de klant beveiligt. Daarnaast zijn misconfiguraties, te ruime toegangsrechten en het ontbreken van multifactorauthenticatie de meest voorkomende oorzaken van cloudbeveiligingsincidenten.
De praktijk laat keer op keer dezelfde fouten zien:
- Aannames over de provider: ervan uitgaan dat de cloudprovider ook de klantdata beveiligt, zonder zelf maatregelen te nemen
- Misconfiguraties: opslagcontainers, databases of API’s die per ongeluk publiek toegankelijk zijn door foutieve instellingen
- Te ruime toegangsrechten: gebruikers en applicaties krijgen meer rechten dan nodig, wat de schade bij een incident vergroot
- Geen MFA: accounts zonder multifactorauthenticatie zijn een makkelijk doelwit voor aanvallers
- Geen zicht op schaduw-IT: medewerkers gebruiken clouddiensten die niet door de IT-afdeling zijn goedgekeurd of beveiligd
- Onvoldoende monitoring: geen logging of alerting waardoor beveiligingsincidenten te laat worden ontdekt
- Vergeten updates en patches: bij IaaS en PaaS blijft patching van applicaties en besturingssystemen de verantwoordelijkheid van de klant
Een gerichte beveiligingstest van de cloudomgeving helpt om deze kwetsbaarheden te ontdekken voordat een aanvaller dat doet. Regelmatig testen geeft inzicht in de werkelijke beveiligingsstatus en maakt duidelijk waar verbetering nodig is.
Hoe Q-Cyber helpt met cloudbeveiliging
Wij helpen organisaties om grip te krijgen op hun cloudbeveiliging, van inventarisatie tot implementatie. Of het nu gaat om het in kaart brengen van de gedeelde verantwoordelijkheid, het uitvoeren van een beveiligingsanalyse of het opstellen van beleid dat aansluit op NIS2-verplichtingen: wij bieden concrete, onafhankelijke ondersteuning zonder binding aan softwarepartijen.
Wat wij voor jouw organisatie kunnen doen:
- Cloud security assessment: wij brengen in kaart welke clouddiensten je gebruikt, hoe de verantwoordelijkheden zijn verdeeld en waar de beveiligingsgaten zitten
- Pentesting en vulnerability scans: wij testen actief of jouw cloudomgeving weerstand kan bieden aan realistische aanvallen
- Beleidsvorming en NIS2-begeleiding: wij schrijven beveiligingsbeleid op maat en begeleiden je door de NIS2-vereisten die van toepassing zijn op cloudgebruik en de toeleveringsketen
- Virtuele CISO: via ons Continuous-Q programma krijg je structurele toegang tot een team van specialisten dat jouw cloudbeveiliging continu bewaakt en verbetert
- Trainingen voor bestuurders en medewerkers: wij zorgen dat de juiste mensen binnen jouw organisatie begrijpen wat hun verantwoordelijkheden zijn in de cloud
Wil je weten hoe jouw organisatie er nu voor staat op het gebied van cyberbeveiliging in de cloud? Neem contact met ons op en we kijken samen naar de beste aanpak voor jouw situatie.
Gerelateerde artikelen
- Kan AI een menselijke pentester vervangen?
- Hoe communiceer je tijdens een cyberaanval?
- Hoe train je medewerkers in cybersecurity?
- Hoe stel je een incidentresponsplan op?
- Wat is het verschil tussen een CISO en een vCISO?
- Wat is een CISO en wat doet die precies?
- Wat zijn de NIS2-eisen voor toegangsbeheer?
- Wat is network pentesten?
- Wat zijn de gevolgen van een mislukte pentest?
- Hoe communiceer je pentest resultaten?