Che cos'è la sicurezza del cloud?

Non molto tempo fa le aziende discutevano sul valore delle offerte cloud. Le organizzazioni si chiedevano se il compromesso nel controllo dei dati valesse il valore aggiunto, la scalabilità e la flessibilità delle soluzioni cloud.

Al giorno d'oggi, le aziende stanno cercando di implementare e gestire soluzioni e modelli di sicurezza complessi su più soluzioni cloud.

Come funziona la sicurezza nel cloud?

La sicurezza del cloud implementa una combinazione di misure tecniche e organizzative per proteggere i dati e i servizi di un'azienda. A seconda dell'offerta cloud, le aziende possono implementare firewall o VPN personalizzati per controllare l'accesso alle risorse e stabilire connessioni sicure. Esistono alcune somiglianze nella sicurezza tra le configurazioni cloud e on-premises, ma ci sono anche differenze considerevoli. Per capire appieno queste differenze, è utile comprendere le basi del cloud computing.

Spiegazione del cloud computing

Il cloud computing si riferisce all'accesso alle risorse informatiche tramite Internet, invece di implementare e mantenere un'infrastruttura on-premise. Si tratta di un approccio estremamente conveniente che migliora la flessibilità e la scalabilità.

Gli approcci più comuni al cloud computing includono:

• Software-as-a-Service, o SaaS: Si tratta di applicazioni basate sul Web a cui si accede da un browser. Al di là del browser, tutto è gestito dall'azienda che fornisce le applicazioni, compreso tutto l'hardware e l'infrastruttura necessari.
• Platform-as-a-Service o PaaS: Questo servizio cloud è una piattaforma per lo sviluppo, l'esecuzione e la gestione di applicazioni senza la complessità dell'infrastruttura sottostante. Include un ambiente di sviluppo completo per la creazione e l'implementazione di applicazioni.
• Infrastructure-as-a-Service, o IaaS: In questo modello, le organizzazioni possono progettare e costruire la propria infrastruttura, a cui è possibile accedere tramite il Web. Ciò include configurazioni di rete personalizzate e l'accesso a risorse come macchine virtuali e storage dei dati.

Data l'ubiquità del cloud computing, non c'è da stupirsi che quasi tutte le aziende con un'impronta tecnologica significativa utilizzino un approccio multi-cloud. Anche le organizzazioni con severi controlli dei dati e preoccupazioni per la sicurezza implementano infrastrutture cloud ibride mantenendo i dati sensibili on-premises e spostando informazioni e flussi di lavoro meno sensibili verso le offerte cloud. Le soluzioni cloud richiedono ancora aggiornamenti e patch per risolvere le vulnerabilità.

Quali sono i tipi di sicurezza del cloud?

Nonostante i vantaggi del cloud computing, le organizzazioni devono considerare le implicazioni per la sicurezza durante la transizione a una soluzione cloud. Ad esempio, piuttosto che un'autorità di dominio locale, le aziende utilizzano strumenti di gestione delle identità e degli accessi (IAM) sia per i servizi on-premises che per quelli basati su cloud, assegnando identità digitali agli utenti. Queste identità consentono il monitoraggio e la limitazione durante le interazioni dei dati.

Per quanto riguarda i dati, la sicurezza del cloud si basa su soluzioni di prevenzione della perdita di dati (DLP) per aiutare a prevenire le violazioni dei dati fornendo avvisi, crittografia e altre misure preventive. Nel frattempo, i sistemi SIEM (Security Information and Event Management) automatizzano il rilevamento e la risposta alle minacce negli ambienti cloud.

Le soluzioni di continuità aziendale e disaster recovery (BCDR) sono fondamentali per garantire un rapido ripristino dalle interruzioni. Aiutano le organizzazioni a ridurre al minimo gli eventi di sicurezza, garantendo il rapido ripristino dei sistemi d'importanza critica. Alcune soluzioni BCDR includono anche funzionalità come il backup e la replica dei dati, nonché funzionalità di failover per ridurre al minimo le interruzioni.

Sfide e rischi del cloud computing

Sebbene la maggior parte dei servizi cloud segua le best practice, questi sono bersagli di incombenti minacce a causa dell'intrinseca mancanza di trasparenza nello storage e nello spostamento dei dati. Per le aziende che elaborano e trasferiscono grandi quantità di dati, questo aspetto, insieme alla sicurezza del cloud backup, rappresenta una delle maggiori sfide e preoccupazioni.

Altre preoccupazioni includono:

• Gestione degli accessi: Rispetto alla gestione degli accessi on-premises, garantire un accesso coerente tra utenti e dispositivi in ambienti multi-cloud è impegnativo con le piattaforme basate sul Web e le offerte SaaS.
• Conformità: Sebbene i requisiti di conformità nelle piattaforme cloud siano migliorati, garantire tale conformità e fornire un controllo coerente può essere difficile senza un accesso completo e trasparente ai dati nel cloud.
• Errore umano: le offerte cloud beneficiano di un'attenzione particolare all'infrastruttura, ma questi servizi non sono esenti dalla possibilità di cattive configurazioni causate da errori umani.

Gestione della sicurezza del cloud e best practice

È possibile suddividere la gestione della sicurezza del cloud in due categorie: Tecnico e organizzativo. Dal punto di vista organizzativo, le organizzazioni devono riconsiderare le politiche, le procedure e la pianificazione del disaster recovery. Nel frattempo, le aziende con requisiti di settore devono affrontare ostacoli nel mantenimento della conformità e nell'implementazione dei processi di auditing. Fortunatamente, esistono modelli e framework consolidati per l'approccio alla sicurezza nel cloud.

modello a responsabilità condivisa

Il  modello a responsabilità condivisa delinea le responsabilità dei cloud service provider e dei clienti nella protezione delle risorse cloud. In base a questo modello, il cloud service provider è responsabile della protezione dell'infrastruttura sottostante. Nel frattempo, il cliente è responsabile della protezione delle applicazioni e dei dati in esecuzione sull'infrastruttura.

Sebbene la responsabilità condivisa sia un framework di sicurezza diffuso, la sua implementazione varia da provider a provider. Per avere un'idea dell'ambito di applicazione, è possibile consultare il modello a responsabilità condivisa di AWS.

L'approccio Zero Trust

I modelli di sicurezza tradizionali agiscono come una recinzione che modera l'accesso alle risorse all'interno del perimetro della recinzione. L'approccio zero trust, d'altra parte, presuppone che il perimetro venga sempre violato e pone l'accento sulla protezione delle singole risorse.

Questo approccio "tutto o niente" è particolarmente importante negli ambienti di cloud computing, poiché consente alle organizzazioni di proteggere l'accesso alle risorse indipendentemente dalla posizione e dal modo in cui si implementano e si accede a tali risorse. Che si tratti di un'applicazione SaaS o di carichi di lavoro d'importanza critica in un ambiente VMware, l'approccio è generalmente lo stesso.

I pilastri di una solida strategia di sicurezza nel cloud

Sebbene i requisiti di sicurezza di ogni organizzazione differiscano in base ai dati e alle tecnologie utilizzate, sono disponibili framework per garantire una base di sicurezza di livello su cui costruire. Il National Institute of Standards and Technology (NIST) ha sviluppato una valutazione che aiuta le aziende a valutare le misure di sicurezza sia nella prevenzione che nel ripristino. Questa valutazione si basa sui cinque pilastri della sicurezza informatica del NIST: identificare, proteggere, determinare, rispondere e ripristinare.

Come scegliere una soluzione

L'approccio all'esame delle soluzioni Cloud dovrebbe procedere come segue:

1. Identificare le esigenze di sicurezza: prima di scegliere una soluzione, è essenziale identificare i requisiti di sicurezza dell'organizzazione, compresi i tipi di risorse da proteggere, le normative e i requisiti di conformità.
2. Comprendere la responsabilità condivisa: Comprendere come la responsabilità condivisa si applica a ciascun servizio cloud in questione aiuta a garantire che l'organizzazione sviluppi un approccio appropriato.
3. Considerare il modello di implementazione: L'adozione da parte di un'organizzazione di un approccio pubblico, privato o ibrido con il proprio modello di implementazione influisce sulla scelta dei cloud service provider.
4. Cerca le integrazioni: Le organizzazioni devono garantire che le soluzioni di sicurezza esistenti siano compatibili con i cloud service provider, comprese le soluzioni per gli strumenti di monitoraggio della rete e la ridondanza dei dati.
5. Valutare scalabilità e flessibilità: Le aziende devono garantire che le risorse fornite siano flessibili e scalabili e in grado di adattarsi prontamente all'evoluzione dei requisiti di sicurezza.

Le organizzazioni che sfruttano Amazon Web Services (AWS), Microsoft Azure o Google Cloud possono esaminare le rispettive piattaforme di sicurezza di ciascun provider. AWS Security Hub, Azure Security Center e Google Cloud Security Command Center forniscono ciascuno un luogo centrale per l'automazione e la gestione della sicurezza su più implementazioni cloud.

Come iniziare

La scelta di una soluzione di sicurezza cloud può essere complessa quanto la scelta di un provider cloud. A causa del numero elevato di soluzioni disponibili e delle esigenze specifiche di ogni azienda, non esiste un approccio valido per tutti. È essenziale che le organizzazioni che passano al cloud considerino attentamente ogni aspetto delle strategie esistenti di sicurezza e protezione dei dati.

Mentre le offerte di sicurezza predefinite con AWS e Azure potrebbero funzionare per alcune aziende, molte altre scopriranno di aver bisogno di soluzioni aggiuntive per migliorare il loro approccio. Nell'universo del cloud computing, una soluzione di cloud backup per le informazioni sensibili dei clienti o protezione contro i ransomware per compensare le vulnerabilità fa un'enorme differenza.