Sinds de lancering van AWS S3 in 2006 is cloudbeveiliging sterk geëvolueerd, met belangrijke mijlpalen in toegangsbeheer en auditing.
Op 14 maart 2006 kondigde Amazon Web Services (AWS) de lancering van S3 aan, het eerste algemeen beschikbare AWS-product en het startpunt van de cloud zoals we die nu kennen. Azure en Google Cloud volgden iets later, waardoor 14 maart 2026 het twintigjarig jubileum van de cloud markeert. Sinds die eerste aankondiging is er veel veranderd: de kosten zijn drastisch gedaald en er zijn talloze nieuwe functies toegevoegd, terwijl sommige ook weer zijn verwijderd. Opmerkelijk is dat vanaf het begin S3-buckets gedeeld konden worden voor lezen, wat inhield dat ze als publieke buckets geconfigureerd konden worden. Dit maakte het mogelijk om zowel innovatieve toepassingen te ontwikkelen als misconfiguraties te veroorzaken.
De afgelopen twintig jaar cloudbeveiligingsonderzoek kunnen worden onderverdeeld in verschillende periodes met belangrijke mijlpalen die telkens een nieuw tijdperk inluidden. De eerste tien jaar, van 2006 tot 2016, worden gezien als het fundamentele tijdperk. In deze periode ontwikkelden cloudproviders essentiële beveiligingsconcepten zoals het principe van minste rechten en logging. Zo werd AWS Identity and Access Management (IAM) pas in 2011 geïntroduceerd, waardoor de eerste vijf jaar gebruikers vaak een gedeeld root-account met volledige beheerdersrechten gebruikten. Ook auditmogelijkheden waren beperkt; AWS CloudTrail kwam pas in 2013 beschikbaar, waardoor er voor die tijd geen gedetailleerde controlelogs bestonden. Dit betekende dat bij het ontdekken van een publieke S3-bucket niet kon worden vastgesteld wanneer deze openbaar was gemaakt of door wie. Andere belangrijke functies, zoals AWS Organizations, werden eveneens pas later geïntroduceerd.
