9.1.1 Shared Responsibility Model

Shared Responsibility Model (SRM) adalah fondasi keamanan cloud computing. Model ini mendefinisikan pembagian tugas keamanan antara Cloud Service Provider (CSP) - seperti AWS, Microsoft Azure, dan Google Cloud Platform (GCP) - dengan customer (pengguna cloud). Tidak seperti data center on-premise di mana seluruh aspek keamanan ditangani oleh satu organisasi, di cloud tanggung jawab terbagi secara eksplisit.

Konsep Dasar

Prinsip utama SRM: CSP mengamankan infrastruktur cloud, customer mengamankan apa yang mereka deploy di dalamnya. Namun batas tanggung jawab ini bervariasi tergantung jenis layanan yang digunakan.

Security OF the Cloud vs Security IN the Cloud

Security OF the Cloud mencakup:

• Physical security: akses biometric, guard, CCTV di data center
• Hardware security: maintenance server, storage, network devices
• Hypervisor isolation: mencegah VM escape antar tenant
• Global network infrastructure: backbone CSP

Security IN the Cloud mencakup:

• Customer data: klasifikasi, enkripsi, akses kontrol
• Platform configuration: security group, NACL, bucket policy
• Identity & Access Management (IAM): user, role, policy
• OS-level security: patching OS di VM (kecuali SaaS)
• Application security: code, dependency, API security

Matriks Tanggung Jawab per Service Model

Pembagian tanggung jawab bergeser tergantung model layanan:

IaaS (Infrastructure as a Service)

Contoh: AWS EC2, Azure VM, GCP Compute Engine

Di IaaS, customer memiliki kendali paling besar tetapi juga tanggung jawab keamanan paling luas - mulai dari OS, middleware, hingga aplikasi.

PaaS (Platform as a Service)

Contoh: AWS RDS, Azure App Service, GCP Cloud Run

PaaS mengurangi beban manajemen OS, namun customer tetap bertanggung jawab atas konfigurasi akses, data, dan aplikasi.

SaaS (Software as a Service)

Contoh: AWS WorkMail, Microsoft 365, GCP Workspace

SaaS memberikan tanggung jawab paling sedikit ke customer, tetapi data governance dan manajemen identitas tetap menjadi kewajiban customer.

Implementasi di Cloud Providers

AWS Shared Responsibility Model

AWS membagi tanggung jawab sebagai berikut:

Customer: Data, Platform & Application, IAM, OS & Network Config, Firewall, Client-side Encryption
AWS: Software (Compute, Storage, Database, Networking), Hardware (Region, AZ, Edge Location), Physical Security

AWS menyediakan dokumen resmi AWS Shared Responsibility Model yang diperbarui secara berkala. Tools yang membantu customer memenuhi tanggung jawabnya:

• AWS Config - memonitor konfigurasi resource terhadap best practices
• AWS Security Hub - agregasi temuan keamanan dari berbagai AWS services
• AWS Trusted Advisor - rekomendasi security, cost, performance

Contoh konfigurasi AWS Config rule untuk memastikan customer memenuhi tanggung jawabnya:

{
  "ConfigRuleName": "s3-bucket-public-read-prohibited",
  "Source": {
    "Owner": "AWS",
    "SourceIdentifier": "S3_BUCKET_PUBLIC_READ_PROHIBITED"
  },
  "Scope": {
    "ComplianceResourceTypes": ["AWS::S3::Bucket"]
  }
}

Azure Shared Responsibility Model

Microsoft Azure menggunakan pendekatan yang mirip namun dengan penekanan pada Azure Security Benchmark. Azure membagi tanggung jawab secara grafis dalam dokumentasi resmi - customer bertanggung jawab atas:

• Information & Data Governance: klasifikasi data, enkripsi di sisi customer
• Application Security: code scanning, dependency management
• Network Controls: NSG (Network Security Group), Azure Firewall
• Identity & Directory: Azure AD, managed identities, RBAC

Tools Azure untuk monitoring tanggung jawab customer:

• Microsoft Defender for Cloud - security posture management
• Azure Policy - enforce compliance rules
• Azure Blueprints - templat lingkungan yang compliant

Contoh Azure Policy untuk memblokir storage account tanpa enkripsi:

{
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "equals": "Microsoft.Storage/storageAccounts"
        },
        {
          "field": "Microsoft.Storage/storageAccounts/supportsHttpsTrafficOnly",
          "equals": "false"
        }
      ]
    },
    "then": {
      "effect": "Deny"
    }
  }
}

GCP Shared Responsibility Model

Google Cloud Platform menekankan pendekatan defense in depth dengan enam layer keamanan: Operational Security, Identity, Network, Data, Application, dan Infrastructure. GCP membagi tanggung jawab dengan jelas:

• Google: Infrastructure security (Borg, Titan chips, encryption at rest by default)
• Customer: GCP IAM configuration, VPC Service Controls, Data Loss Prevention (DLP)

Tools GCP untuk customer:

• Security Command Center - vulnerability scanning, threat detection
• Policy Analyzer - analisis akses IAM
• Assured Workloads - untuk workload dengan regulatory compliance

Implikasi terhadap Audit dan Compliance

Shared Responsibility Model memiliki implikasi langsung terhadap proses audit:

1. Scope Audit

Auditor harus membedakan mana yang menjadi tanggung jawab CSP dan mana yang menjadi tanggung jawab customer. CSP biasanya menyediakan SOC 2, ISO 27001, PCI DSS untuk infrastruktur mereka, namun customer tetap harus membuktikan security IN the cloud mereka.

2. Compliance Burden

Customer tetap bertanggung jawab penuh terhadap compliance data mereka. Menggunakan cloud tidak mengalihkan kewajiban regulatory seperti:

• UU PDP Indonesia: tanggung jawab tetap pada pengendali data (customer)
• PCI DSS: merchant tetap harus mengamankan cardholder data environment meski di cloud
• HIPAA: covered entity tetap bertanggung jawab atas PHI di cloud

3. Evidence Collection

Customer harus mengumpulkan bukti kepatuhan untuk bagian tanggung jawab mereka:

AWS Artifact → Download SOC reports CSP
AWS CloudTrail → Log aktivitas management plane
AWS Config → Configuration history & compliance
Customer's own audit evidence → IAM, encryption, data classification

4. Contractual Clarity

SLA dan kontrak cloud harus secara eksplisit menyebutkan:

• Batas tanggung jawab masing-masing pihak
• Incident response responsibilities
• Data breach notification procedures
• Right to audit clauses

Best Practices

1. Understand your shared responsibility: jangan asumsikan CSP mengamankan semuanya
2. Use CSP-native security tools: AWS Config, Azure Policy, GCP Security Command Center
3. Automate compliance checks: Infrastructure as Code (IaC) dengan policy-as-code
4. Document responsibility matrix: buat RACI matrix untuk setiap workload
5. Regular audit & pen testing: lakukan security assessment rutin (dengan izin CSP)
6. Leverage managed services: gunakan PaaS/SaaS jika kapabilitas tim terbatas

Kesimpulan

Shared Responsibility Model bukan sekadar konsep teoritis - ia adalah kerangka kerja yang menentukan siapa melakukan apa dalam keamanan cloud. Memahami batas tanggung jawab ini krusial untuk:

• Mencegah kesalahan konfigurasi yang berujung breach
• Memastikan compliance terhadap regulasi
• Mengoptimalkan biaya security operations
• Mendesain arsitektur cloud yang aman sejak awal

Kesalahan paling umum adalah over-reliance on CSP security - customer yang menganggap semua aspek keamanan ditangani oleh provider. Ingat: CSP secures the cloud, you secure what's IN the cloud.