Zabezpečení cloudových služeb

Proč mají cloudové služby specifické bezpečnostní požadavky

Cloudová bezpečnost není jen přenesení tradičních kontrol do „cizího datacentra“. Cloud mění sdílení odpovědnosti, rychlost změn, granularitu řízení přístupu, provozní model i povahu telemetrie. Dynamika prostředí (ephemerální zdroje, autoscaling, IaC), široká dostupnost přes internet a komplexní ekosystém služeb (databáze, funkce, kontejnerové runtime, AI/ML) kladou důraz na automatizaci, neustálé ověřování konfigurací a důsledné řízení identity.

Model sdílené odpovědnosti (Shared Responsibility)

Poskytovatel cloudu zajišťuje bezpečnost cloudu (fyzickou infrastrukturu, hypervizor, základní služby), zatímco zákazník nese odpovědnost za bezpečnost v cloudu (konfigurace, identity, data, aplikace). Rozsah se liší dle typu služby:

• IaaS: zákazník spravuje OS, síťové politiky, workloady, šifrování a klíče.
• PaaS: poskytovatel spravuje runtime; zákazník řeší data, identitu, tajemství a aplikační konfigurace.
• SaaS: zákazník řídí přístupy, datovou klasifikaci, konfiguraci tenantů a integrace.

Řízení identity a přístupu (IAM) jako základ

V cloudu je vše API: identita je nová perimetrická hranice. Klíčové zásady:

• Princip nejmenších oprávnění – granulární role, deny-by-default, krátkodobé přístupy (just-in-time).
• Federace identity – SSO, OIDC/SAML, centralizovaná správa životního cyklu (joiner-mover-leaver).
• Podmíněný přístup – hodnocení rizika relace (device posture, síť, geolokace, chování).
• Správa privilegovaných účtů (PAM) – trezory tajemství, schvalování relací, audit.
• Identity pro stroje – workload identity, service accounts bez dlouhodobých klíčů.

Datová klasifikace, šifrování a správa klíčů

Data v cloudu mohou snadno měnit zónu i jurisdikci; kontrola nad klíči je proto kritická.

• Šifrování v klidu a za provozu – nativní šifrování služeb, TLS, mTLS, zabezpečení mezi-regionální replikace.
• KMS/HSM – vlastní klíče (BYOK) nebo hostované (Cloud KMS), rotace, key versioning, zásady separation of duties.
• Kontrola nad klíči u poskytovatele – customer-managed keys, případně hold your own key (HYOK).
• Tokenizace a pseudonymizace – minimalizace expozice citlivých dat napříč službami.

Bezpečné nakládání s tajemstvími

Tajemství (API klíče, přístupové tokeny) nepatří do proměnných prostředí bez dohledu ani do repozitářů. Používejte secrets manažery, krátkou životnost tokenů, automatickou rotaci a workload identity namísto statických klíčů. Nastavte detekci úniků tajemství v CI/CD a repozitářích.

Konfigurace cloudu: prevence chyb (CSPM & CIEM)

Nejčastější příčinou incidentů jsou chybné konfigurace. Nasazujte nástroje CSPM (Cloud Security Posture Management) pro kontinuální kontrolu konfigurací vůči politikám a CIEM (Cloud Infrastructure Entitlements Management) pro audit a minimalizaci oprávnění. Zaveďte policy-as-code (např. OPA) a schvalovací brány v pipeline.

Síťová segmentace a Zero Trust v cloudu

Tradiční perimetr nestačí. Uplatněte mikrosegmentaci na úrovni VPC/VNet, bezpečnostních skupin, network policies (Kubernetes) a L7 firewallů/WAfů. Preferujte privátní konektivitu (privátní endpointy) před veřejnými IP, omezujte egress, implementujte ZTNA pro přístup administrátorů a dodavatelů.

Ochrana workloadů: VM, kontejnery a Kubernetes

• VM – bezagentní i agentní EDR/XDR, hardening obrazu, automatizované záplaty, šablony golden images.
• Kontejnery – skenování image (CVE), notary/attestation, runtime politiky (seccomp/AppArmor), least privilege a read-only FS.
• Kubernetes – řízení RBAC, namespace izolace, network policies, ochrana control plane, pravidelný audit etcd, tajemství v KMS.
• CNAPP – sjednocení CSPM, CWPP a CIEM pro kontextové řízení rizik napříč vrstvami.

Serverless a PaaS služby

Serverless omezuje správu OS, ale přináší event-driven složitost: detailní IAM pro funkce, omezení síťové konektivity, časové limity, kontrola závislostí a tajemství. U databází a messaging služeb řešte privátní endpointy, šifrování a ochranu před neúmyslnou veřejnou publikací.

DevSecOps a zabezpečení CI/CD

• Posun vlevo – SAST/DAST/IAST, skenování IaC (Terraform, ARM, CloudFormation), policy gates před produkcí.
• Supply chain – SBOM, podpisy artefaktů, řízení důvěry v registry a repozitáře.
• Segregace prostředí – preview prostředí s omezeným dosahem, oddělení tajemství a klíčů.
• Automatizované opravy – autofix misconfigů, drift detection a reconciliation.

Provozní telemetrie, detekce a reakce

Centralizujte logy (audit, IAM, síťové, aplikační) do SIEM. Nastavte detekční use-cases pro anomální chování (nečekané geografické přístupy, eskalace rolí, masová enumerace API). Využijte managed threat detection a SOAR playbooky k automatizované reakci (izolace zdroje, rotace klíče, zneplatnění tokenu).

Zabezpečení API a integračních bodů

API jsou dominantní rozhraní cloudu. Používejte centrální brány API s ověřováním a rate-limiting, mTLS mezi službami, pevné autorizace na úrovni zdroje (scopes/claims) a schema validation. Monitorujte shadow APIs a verze, zabraňte mass assignment a injekcím.

Bezpečnost SaaS aplikací a řízení tenantů

Pro SaaS zaveďte SSPM (SaaS Security Posture Management): jednotné politiky (MFA, sdílení, DLP), správa externích sdílení, audit integrací třetích stran (OAuth appky), CASB pro viditelnost a kontrolu datových toků.

Multicloud, oddělení účtů a landing zone

• Landing zone – standardní síťová topologie, guardrails, logování, účty/projekty dle domén a rizik.
• Oddělení povinností – bezpečnostní, síťová a aplikační týmy s minimálními průniky rolí.
• Multicloud – jednotné politiky a identita, konsolidovaná telemetrie, pozor na rozdíly v semantics IAM.

Dostupnost, odolnost a zotavení (BC/DR)

Cloud usnadňuje geografickou redundanci, ale vyžaduje promyšlenou architekturu odolnosti. Definujte RPO/RTO, zálohy mimo účet/region, immutable backup, testujte obnovu a chaos engineering scénáře. Ošetřete závislosti (KMS, IAM, DNS) v havarijních plánech.

Správa nákladů vs. bezpečnost (FinOps & SecOps)

Bezpečnostní kontroly nesmí dramaticky zvyšovat náklady ani latenci. Využívejte finanční tagy, budget alerts a propojení FinOps se SecOps pro vyhodnocení cost-of-control a cost-of-risk. Dejte pozor na nákladovou viditelnost logů, SIEM ingest a egress traffic.

Právní a regulatorní aspekty: suverenita a soukromí

Mapujte lokalitu dat a zpracovatele, nastavte DLP a RMP (records of processing). Využijte nástroje pro data residency, privacy by design a citlivé klastry pro osobní a chráněná data. Smluvně ošetřete audit, incident reporting a požadavky na forenzní přístup.

Cloudová forenzika a reakce na incidenty

Plánujte předem: povolte distribuované auditní logy, snapshoty disků, izolaci sítí, forenzní účty s přístupem jen ke čtení. Definujte runbooky pro únik tajemství, kompromitaci účtu, veřejné vystavení úložiště nebo abuse compute. Ujistěte se, že časové synchronizace a retence logů umožní korelaci.

AI/ML a správa datových sad

AI služby v cloudu vyžadují řízení tréninkových a inferenčních dat, přístupové politiky pro datasety/modely, citlivost výstupů (red-teaming), ochranu před model theft a prompt injection. Sledujte smluvní podmínky využití dat poskytovatelem.

Typické hrozby a jak jim předcházet

• Veřejně přístupné úložiště – povinné politiky, block public access, monitorování změn.
• Kompromitace přihlašovacích údajů – MFA, phishing-resistant metody, detekce anomálií.
• Nadměrná oprávnění – CIEM, recertifikace, access analyzer, JIT přístup.
• Únik tajemství v repozitáři – skenery, pre-commit hooky, automatická rotace.
• Nezabezpečené API – gateway, mTLS, validace schémat, rate limits, WAF.

Praktický kontrolní seznam (minimum)

1. Zaveďte MFA a federaci identity pro všechny účty a služby.
2. Standardizujte landing zone, logování a guardrails pomocí IaC.
3. Aktivujte CSPM/CIEM, opravte kritické misconfigy a zaveďte policy-as-code.
4. Centralizujte KMS, rotujte klíče, eliminujte dlouhodobé statické klíče.
5. Uzavřete síť pomocí privátních endpointů, mikrosegmentace a egress kontrol.
6. Chraňte workloady (EDR/XDR, sken image, runtime politiky, CNAPP).
7. Zabezpečte CI/CD (SAST/DAST/IaC scan, podpisy artefaktů, tajemství v trezoru).
8. Nastavte SIEM, detekční pravidla a SOAR playbooky.
9. Proveďte BIA, definujte RPO/RTO, testujte obnovu a zálohy mimo účet/region.
10. Udržujte asset inventory, tagování a pravidelnou recertifikaci přístupů.

Závěr: bezpečnost jako vlastnost architektury, ne dodatečný modul

Zabezpečení cloudu je souběhem strategie, architektury a automatizace. Úspěch stojí na silné identitě, neustálém ověřování konfigurací, ochraně dat a telemetrii schopné detekovat a včas reagovat. Organizace, které staví bezpečnost do návrhu a kodifikují ji v infrastruktuře jako kód, dosahují vyšší odolnosti, rychlejších dodávek a lepšího souladu s regulací – bez brzdění inovací.