Modèle de responsabilité partagée

Capital One, juillet 2019 : une règle de pare-feu applicatif mal configurée sur AWS ouvre l'accès aux données d'environ 106 millions de personnes, et l'OCC inflige 80 millions de dollars d'amende à la banque en août 2020, l'amende visant la banque et non le fournisseur. Le modèle de responsabilité partagée est la répartition, écrite dans les conditions du fournisseur cloud, entre ce que celui-ci sécurise et ce que le client reste seul à sécuriser. Au fournisseur, l'installation physique, la couche de virtualisation et les services qu'il exploite ; au client, ses configurations, ses identités, ses droits d'accès et ses données. La ligne se déplace selon le service consommé, haute pour une machine virtuelle nue où presque tout revient au client, basse pour un service entièrement exploité par le fournisseur. C'est un dispositif de transfert de risque avant d'être un document technique, puisqu'il détermine à qui le sinistre est imputable, donc quelle police répond et contre qui un recours est possible. La cause dominante des compromissions cloud reste d'ailleurs l'erreur de configuration du côté client, plutôt que l'intrusion dans l'infrastructure du fournisseur, ce que confirment année après année les rapports des prestataires de réponse à incident. Un souscripteur qui n'a pas vu où passe cette ligne pour les charges de travail réellement exploitées ne sait pas ce qu'il garantit.