Il cloud è sempre più centrale per le aziende e per la Pubblica Amministrazione e, di fatto, ogni realtà pubblica o privata strutturata ha già compiuto il passaggio verso sistemi multi-cloud, ma in pochi hanno una vera coscienza di quanto questo cambiamento li esponga a pericoli di varia natura.
Quando un ente pubblico importante come la Regione Sardegna adotta un sistema integrato di protezione come il Cloud Access Security Broker (CASB) è quindi una presa di consapevolezza importante a fronte, ad esempio, di altri enti o privati che, nel momento in cui si rivolgono a uno specialista, non sanno nemmeno che usare Skype, Gmail, Google Docs, Dropbox, Slack o fogli Excel voglia dire proprio utilizzare uno o più cloud.
Cloud Access Security Broker, cos’è
La situazione, sul fronte del passaggio al cloud nella Pubblica amministrazione, è abbastanza complessa e variegata. Esistono tuttavia delle importanti contromisure sia sul piano normativo – dove si sono aggiunte anche le tutele del Gdpr, il cui mancato rispetto comporta multe fino al 4 per cento del fatturato, e il rischio di perdere la fiducia dei clienti – che per quanto concerne i sistemi di protezione.
Su questo ultimo versante, per essere davvero preparati alla gestione della sicurezza di sistemi multi cloud il mezzo più efficiente sono i Cloud Access Security Broker (CASB), che sono sistemi integrati di protezione pensati per coprire tutte le possibili falle, da quelle informatiche a quelle legali. Non è un caso che di questi servizi si parli con sempre maggiore insistenza: infatti non basta più avere archivi digitali potenzialmente infiniti, ma è necessario avere sistemi integrati in grado di garantire la sicurezza del dato in ogni passaggio del suo trattamento.
Il nostro Paese è ancora abbastanza arretrato nel suo complesso, anche se già si iniziano a vedere le prime soluzioni sul mercato. Sono sistemi che servono in particolare per facilitare un passaggio più sicuro verso la digitalizzazione della Pubblica Amministrazione di cui molte parti non hanno ancora raggiunto il giusto livello di integrazione tra i servizi.
Se c’è lo spazio a disposizione nell’universo digital, secondo alcune stime l’83% dei carichi di lavoro aziendali migrerà su cloud entro un anno, i processi di immagazzinamento, analisi e gestione dei dati hanno ancora ampi margini di miglioramento.
A cosa servono i Cloud Access Security Broker
I CASB sono una best practice che dovrebbe essere adottata dalla maggior parte delle aziende (85%) entro il 2020 e svolgono varie attività: consentono di utilizzare modelli pacchettizzati, integrare soluzioni di machine learning per monitorare i comportamenti e allertare gli IT manager di attività potenzialmente pericolose. Inoltre i CASB generano log, mandano avvisi e creano una reportistica che aiuta i manager anche a progettare risposte agli attacchi oltre a migliorare la sicurezza del sistema. Si tratta poi di servizi che possono integrarsi con ogni tool di sicurezza. E non solo: per parlare di sicurezza aziendale oggi non ci si può limitare all’idea di una guardia armata che sorveglia un parcheggio. Ci sono gli aspetti fisici, digitali e legali che rendono il tema molto più ampio e complesso.
E’ utile partire dall’analisi delle soluzioni di mercato e prendendo in considerazione le piattaforme dei principali technology vendor e dei principali outsider, quali ad esempio Forcepoint, Skyhigh networks, Cisco System, Microsoft, Bitglass, Netskope.
Il progetto Inclosec della Sardegna
Il progetto della Regione Sardegna si chiama Inclosec e tiene proprio conto di argomenti come la conformità alle leggi, alle norme e agli standard nazionali ed è in grado di supportare e consolidare molteplici aspetti della gestione della sicurezza aziendale, tra cui la conformità con leggi, norme di settore e standard, la corretta gestione della sicurezza dei dati, l’identificazione delle attività e la completa integrazione con sistemi aziendali pre-esistenti (es. monitoring, ticketing, LDAP, ecc.). In questa ottica, l’iniziativa offre uno strumento a valore aggiunto abilitante per valorizzare i dati applicati alle Aree di Specializzazione della Sardegna: turismo, agroindustria, reti intelligenti per l’energia e biomedicina. Consente infatti di automatizzare l’intero ciclo di vita della sicurezza gestita in ambito cloud al fine di poter aggregare in modo pluridirezionale informazioni provenienti da più ambienti cloud.
Le funzioni dei CASB sono dunque un pezzo del futuro della cyber security anche in altri ambiti come l’IoT che si stanno guadagnando spazi sempre più ampi nella vita di tutti i giorni: secondo l’Osservatorio Internet of Things del Politecnico di Milano se nel 2018 le tecnologie IoT per le smart city hanno creato un mercato da 395 milioni di euro, nello stesso periodo gli attacchi contro queste tecnologie sono aumentati del 100 per cento. La gestione e la sicurezza dei dati che raccolgono le macchine non potrà prescindere da sistemi multi cloud, per questo dobbiamo essere sicuri che queste piattaforme siano a prova di manomissione.
Il nodo delle competenze
Nei sistemi complessi infatti è essenziale la cura della sicurezza delle strutture portanti tanto quanto quella dei devices secondari che spesso sono quelli più vulnerabili, come ad esempio ha dimostrato l’hacking del sistema di guida della Jeep pochi anni fa. O i furti di milioni di mail o di password visti negli ultimi anni anche a danno di colossi come Yahoo o LinkedIn. Per non parlare delle vulnerabilità scoperte in strutture sanitarie che hanno rivelato quanto sia importante non abbassare la guardia sul tema.
Come dicevo all’inizio, c’è una carenza di conoscenza abbastanza generalizzata sul tema e questo fatto crea dei problemi sistemici: secondo alcuni studi, proprio questa mancanza di competenze di base ha causato un errore di configurazione del sistema di difesa su cui si sono basati il 62% degli attacchi a cloud di vario genere.
Numeri che è difficile ignorare, anche per chi continua a ritenere la cyber sicurezza un problema secondario: oggi bisogna formare le persone e per farlo servono sempre di più esperti affidabili.
