Cloud security, l’evoluzione tra sicurezza e resilienza

La cloud security non è solo una questione tecnologica, ma è una componente critica della strategia aziendale moderna. Le minacce di cybersecurity sono diventate di pari passo più avanzate con l’evolversi del panorama digitale, e prendono di mira non solo i provider di cloud computing che operano fornendo i servizi di cloud pubblico e ibrido, ma anche le organizzazioni che adottano modelli di cloud privato e ibrido.

Garantire la sicurezza dei dati è diventato essenziale per proteggere le operazioni aziendali e mantenere la fiducia dei clienti.

Cos’è la cloud security e perché è fondamentale per le aziende

La cloud security rappresenta l’insieme delle tecnologie, politiche e controlli implementati per proteggere dati, applicazioni e infrastrutture ospitate nel cloud.

Nelle aziende moderne si è verificata una crescente transizione verso ambienti informatici basati sul cloud pubblico, privato o ibrido e su modelli IaaS, Paas o SaaS. L’ultimo rapporto di O’Reilly sull’adozione del cloud mostra numeri davvero interessanti:

• Circa due terzi degli intervistati attualmente operano in un cloud pubblico e il 45% utilizza un cloud privato, rispetto al 55% che si affida ancora a sistemi on-premise gestiti tradizionalmente.
• Il 48% prevede di migrare almeno la metà delle proprie applicazioni sul cloud nel prossimo anno; il 20% intende spostare tutte le proprie applicazioni sul cloud.
• Il 47% sta perseguendo una strategia cloud-first; il 30% è già cloud-native; il 37% intende essere cloud-native tra circa tre anni.
• Solo il 5% prevede di passare dal cloud all’infrastruttura on-premise (cloud rempatrion).

Tenendo conto che quasi la metà (47%) di tutti i dati aziendali archiviati nel cloud sono sensibili, il 44% delle organizzazioni ha subito una violazione dei dati nel cloud, ed il 14% ne ha subita una nell’ultimo anno, è facile intuire quanto sia importante la Cloud Security per garantire l’operatività di una azienda.

Cloud Security: differenze tra ambienti pubblici, privati e ibridi

Fatta eccezione per gli ambienti di tipo cloud privato, in cui la responsabilità della sicurezza è in capo alla sola azienda che lo adotta, negli ambienti di tipo cloud pubblico e ibrido vi è una forma di corresponsabilità sul tema della sicurezza tra il cloud provider e l’azienda che usufruisce dei servizi.

Il modello di responsabilità condivisa distingue diverse categorie di responsabilità: le responsabilità di sicurezza per la difesa dell’infrastruttura e delle reti, che sono sempre in capo al provider del cloud, mentre le responsabilità del cliente possono includere la gestione dell’identità e dell’accesso, la crittografia e la protezione delle risorse/dati e la conformità. Il grado di corresponsabilità varia in base al modello di servizio scelto: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) o Software as a Service (SaaS).

Le sfide principali della cloud security nel panorama attuale

Mancanza di visibilità
È facile perdere traccia di come e da chi viene effettuato l’accesso ai dati, poiché a molti servizi cloud si accede al di fuori delle reti aziendali e tramite terze parti.

Multitenancy
Gli ambienti di cloud pubblico ospitano più infrastrutture client sotto lo stesso ombrello. Di conseguenza, è possibile che i servizi in hosting vengano compromessi da soggetti malintenzionati quando prendono di mira altre aziende.

Gestione degli accessi e shadow IT
Sebbene le aziende possano essere in grado di gestire e limitare con successo i punti di accesso tra i sistemi on-premise, amministrare questi stessi livelli di restrizioni può essere difficile negli ambienti cloud. Questo può essere pericoloso per le organizzazioni che non implementano politiche BYOD (Bring-Your-Own Device) e consentono l’accesso non filtrato ai servizi cloud da qualsiasi dispositivo o posizione geografica.

Conformità
La gestione della conformità normativa è spesso fonte di confusione per le aziende che utilizzano implementazioni di cloud pubblico o ibrido. La responsabilità generale per la privacy e la sicurezza dei dati spetta ancora all’azienda e la forte dipendenza da soluzioni di terze parti per gestire questo componente può portare a costosi problemi di conformità.

Configurazioni errate
Una parte sostanziale dei record violati può essere attribuita a risorse configurate in modo errato, rendendo l’insider involontario un problema chiave per gli ambienti di cloud computing. Le configurazioni errate possono includere il mantenimento di password amministrative predefinite o la mancata creazione di impostazioni di privacy adeguate.

Cloud security, la gestione degli accessi e identità

La gestione degli accessi e delle identità (Identity and Access Management, IAM) è un pilastro fondamentale per garantire la sicurezza nel cloud.

Gli ambienti cloud, per loro natura, sono progettati per essere accessibili ovunque e da più dispositivi. Questa flessibilità, se non adeguatamente controllata, può trasformarsi in un rischio significativo. La gestione efficace degli accessi garantisce che solo utenti autorizzati possano accedere a risorse specifiche, riducendo il rischio di: 

• Accessi non autorizzati: intrusioni da parte di attori malintenzionati. 
• Errori interni: dipendenti che accedono erroneamente a dati riservati. 
• Esposizione delle credenziali: perdita o furto di password e chiavi di accesso. 

Le componenti chiave della gestione degli accessi e delle identità sono:

• Autenticazione multifattoriale (MFA): l’MFA richiede che gli utenti verifichino la loro identità attraverso due o più fattori, come: qualcosa che conoscono (password), qualcosa che possiedono (token o smartphone), qualcosa che sono (impronta digitale o riconoscimento facciale). 
  CodeMeter Certificate Vault di Wibu-Systems è una soluzione avanzata per la gestione sicura dei certificati digitali, basata su chiavi USB o carte di memoria dotate di chip smart card integrati. Funzionando come un token provider affidabile, garantisce uno storage sicuro dei certificati per un’ampia gamma di applicazioni. Grazie alla compatibilità con le interfacce standard PKCS#11, Microsoft KSP e OpenSSL, può essere facilmente integrato con client di posta, browser web, sistemi VPN e applicazioni di firma documentale.
• Gestione centralizzata delle identità (Identity Federation): la federazione delle identità permette di unificare la gestione degli accessi tra più applicazioni e servizi cloud, riducendo la complessità per gli utenti finali e migliorando la sicurezza.
• Privileged Access Management (PAM): il controllo degli accessi privilegiati garantisce che solo gli utenti con autorizzazioni specifiche possano accedere a dati o funzioni critiche. I sistemi PAM registrano e monitorano le attività degli utenti con privilegi elevati, aumentando la visibilità e riducendo il rischio di abusi. 
• Identity Governance and Administration (IGA): gli strumenti IGA automatizzano il provisioning e il deprovisioning degli accessi, garantendo che ogni utente abbia solo i permessi strettamente necessari per svolgere il proprio lavoro. 

Implementare la cloud security: migliori pratiche e strategie

La cloud security è diventata un elemento essenziale per le aziende che adottano infrastrutture cloud. Un’implementazione efficace richiede un approccio strategico che integri tecnologie avanzate, processi definiti e un cambiamento culturale all’interno delle organizzazioni, seguendo sempre il principio fondamentale della responsabilità condivisa tra cloud provider e azienda cliente; dove il cloud provider è responsabile della sicurezza dell’infrastruttura fisica e virtuale, mentre l’azienda è responsabile della protezione dei dati, della configurazione delle applicazioni e della gestione degli accessi. 

In generale è sempre opportuno adottare un approccio “Zero Trust”, che prevede che nessun utente, dispositivo o applicazione venga considerato automaticamente affidabile, indipendentemente dalla sua posizione nella rete. Questo significa:

• Autenticazione rigorosa per ogni accesso. 
• Monitoraggio continuo delle attività. 
• Applicazione di policy granulari basate sul contesto (es. posizione geografica o tipo di dispositivo). 

Dal punto di vista delle tecnologie occorre:

• adottare strumenti di prevenzione delle minacce avanzati come quelli di rilevamento delle intrusioni (IDS) e di prevenzione delle intrusioni (IPS), per monitorare e bloccare attività sospette in tempo reale 
• implementare la crittografia dei dati sia “a riposo” sia “in transito”
• gestire opportunamente gli accessi e le identità (IAM)
• monitorare e analizzare continuamente e analisi le minacce usando sistemi di Security Information and Event Management (SIEM) che aggregano e analizzano i log per identificare anomalie, e sistemi di Cloud Security Posture Management (CSPM) che rilevano configurazioni errate e violazioni delle policy. 

Elemento altrettanto importante è la formazione continua del personale, dato che le tecnologie più avanzate non sono sufficienti senza l’elemento umano consapevole. La formazione regolare aiuta i dipendenti a:

• riconoscere minacce comuni, come il phishing
• comprendere l’importanza di pratiche sicure, come la gestione delle password
• evitare di cadere in eventi di attacco non informatici, quali il social engineering

Strumenti di prevenzione della perdita di dati nel cloud

Esistono alcuni elementi basilari nella prevenzione della perdita di dati nel cloud; i principali sono:

• Automazione dei processi di sicurezza: automatizzare la gestione della sicurezza riduce il margine di errore umano e accelera la risposta agli incidenti
• Protezione contro la perdita di dati (DLP): sistemi che sono progettati per prevenire la perdita accidentale o intenzionale di dati sensibili. Questi operano attraverso il monitoraggio delle attività di trasferimento dati, il blocco di attività non autorizzate e la crittografia automatica di file sensibili in uscita. 
• Backup regolari e piani di disaster recovery, in particolare implementando backup regolari su più località geografiche e testando periodicamente i piani di disaster recovery per garantire un ripristino rapido.