Il modello di responsabilità condivisa di AWS definisce la ripartizione delle responsabilità tra AWS e i propri clienti in materia di sicurezza e conformità nel cloud. AWS gestisce la sicurezza del cloud, ovvero tutti gli aspetti che vanno dall’infrastruttura alle strutture fisiche, mentre i clienti sono responsabili della protezione dei propri dati nel cloud e dell’adozione delle misure adeguate per soddisfare specifici requisiti di conformità. Questo modello consente un approccio flessibile alla sicurezza, che può essere adattato alle esigenze specifiche di ciascun cliente.
Comprendere il modello di responsabilità condivisa di AWS
Il modello di responsabilità condivisa di AWS è un quadro di riferimento che definisce come le responsabilità in materia di sicurezza e conformità siano ripartite tra AWS e i suoi clienti. È importante che le aziende comprendano questo modello, poiché determina quali controlli di sicurezza spetta loro implementare e quali invece sono gestiti da AWS.
In questo modello, AWS è responsabile della sicurezza del cloud, mentre i clienti sono responsabili della sicurezza all’interno del cloud. Ciò significa che AWS è responsabile dell’infrastruttura sottostante, come i data center e le reti, nonché della gestione del controllo degli accessi a tali risorse. D’altra parte, i clienti sono responsabili della sicurezza delle proprie applicazioni e dei propri dati all’interno del proprio ambiente AWS.
Si consideri, ad esempio, un’azienda che utilizza le istanze Amazon EC2 per ospitare la propria applicazione web. AWS ha il compito di garantire la sicurezza dei server fisici su cui girano tali istanze, mentre l’azienda è responsabile della configurazione dei firewall e dei gruppi di sicurezza per proteggere i propri dati.
È importante sottolineare che le responsabilità possono essere condivise a seconda dei servizi specifici utilizzati da ciascun cliente. Il Modello di responsabilità condivisa di AWS fornisce linee guida sulle responsabilità da tenere in considerazione quando si implementano soluzioni all’interno di un ambiente AWS.
Per illustrare meglio questo concetto, prendiamo ad esempio un’azienda che utilizza sia Amazon S3 che Amazon EC2. Sebbene AWS gestisca l’infrastruttura fisica per entrambi i servizi, la responsabilità della protezione dei dati archiviati in S3 ricade principalmente sul cliente, mentre la protezione dei dati sulle istanze EC2 è di sua competenza.
Alcuni critici sostengono che permanga una certa confusione riguardo ai rischi di sicurezza che vengono condivisi. È importante che le aziende si assumano la responsabilità della gestione dei rischi legati alla sicurezza del cloud da parte loro, in modo da non affidarsi esclusivamente a fornitori come AWS. Tuttavia, seguire le migliori pratiche fornite dai fornitori può contribuire in modo significativo a ridurre i fattori di rischio in qualsiasi partnership.
- Il modello di responsabilità condivisa di AWS definisce come siano ripartite tra AWS e i suoi clienti le responsabilità in materia di sicurezza e conformità: AWS è responsabile della sicurezza della propria infrastruttura fisica, mentre i clienti sono responsabili della sicurezza delle proprie applicazioni e dei propri dati all’interno di un ambiente AWS. È importante che le aziende comprendano questo modello per determinare quali controlli di sicurezza debbano implementare. Tuttavia, le aziende dovrebbero anche assumersi la responsabilità della gestione dei rischi legati alla sicurezza del cloud da parte loro e non affidarsi esclusivamente a fornitori come AWS, sebbene seguire le best practice fornite dai fornitori possa ridurre i fattori di rischio.
Sicurezza del cloud vs. sicurezza nel cloud
Uno dei concetti chiave che gli utenti del cloud devono comprendere è la differenza tra “sicurezza del cloud” e “sicurezza nel cloud”. Come già detto, AWS è responsabile della gestione e della protezione dell’infrastruttura sottostante del proprio servizio cloud. In questo caso si parla di “sicurezza del cloud”, poiché riguarda la protezione dell’infrastruttura fisica.
Per “sicurezza nel cloud” si intende la protezione dei dati all’interno delle applicazioni e dei server dei clienti ospitati nel cloud. Tale responsabilità ricade sui clienti e non su AWS. Comprende la gestione del controllo degli accessi degli utenti, delle impostazioni e delle configurazioni di rete, nonché la crittografia dei dati sensibili.
Pensate alla sicurezza del cloud come alle cassette di sicurezza di un hotel, dove vengono custoditi gli oggetti fisici. Al contrario, la sicurezza nel cloud è simile alle password necessarie per proteggere i propri effetti personali dagli intrusi mentre ci si trova nella propria camera d’albergo.
È importante sottolineare che le aziende non devono trascurare le proprie responsabilità in materia di sicurezza nel cloud solo perché AWS è responsabile della sicurezza del cloud. Con questo modello di responsabilità condivisa, AWS fornisce best practice e linee guida su come i clienti possano garantire la propria sicurezza, a integrazione di quanto già offerto da AWS.
Ad esempio, le istanze Amazon EC2 protette da un firewall fornito da AWS presentano impostazioni predefinite rigorose, con la possibilità di personalizzarle. Il cliente deve configurare questi firewall autonomamente in modo da poter controllare chi può accedere ai propri ambienti di istanza, oltre alle misure già adottate da AWS.
I critici sostengono che affidarsi esclusivamente alla documentazione sulle best practice possa comportare una protezione inadeguata contro gli attacchi. Gli utenti del cloud devono prestare la massima attenzione alla configurazione dei propri sistemi in base agli standard attuali e adottare misure proattive, come i sistemi di applicazione automatica delle patch che avvisano gli amministratori di sistema quando sono disponibili nuove patch.
Implementazione del modello di responsabilità condivisa di AWS
Il modello di responsabilità condivisa di AWS prevede che sia il cliente che AWS contribuiscano a garantire la sicurezza e la conformità del proprio sistema. AWS gestisce e controlla l’infrastruttura fisica, mentre i clienti sono responsabili della sicurezza delle proprie applicazioni e della gestione degli accessi e delle identità (IAM). È quindi fondamentale che i clienti implementino il modello in modo efficace per mitigare eventuali minacce e garantire la sicurezza.
Un aspetto fondamentale nell’implementazione del modello consiste nell’identificare e valutare le esigenze della propria organizzazione in materia di trattamento dei dati. Ciò comporta la comprensione dei dati, la classificazione di ciascun tipo di dati e l’assegnazione delle responsabilità per garantire il trattamento e l’archiviazione sicuri di tutti i dati. Qualsiasi dato sensibile o soggetto a normative specifiche deve essere archiviato in ambienti controllati, con rigorose misure di controllo degli accessi.
Un altro passo importante consiste nella scelta di un’architettura sicura che integri il controllo degli accessi, la segmentazione della rete, la registrazione degli eventi, il monitoraggio, i servizi di crittografia e le pratiche di gestione delle vulnerabilità. L’accesso dovrebbe essere concesso esclusivamente in base ai ruoli e alle responsabilità individuali degli utenti, secondo le migliori pratiche in materia di IAM. In ogni fase dell’implementazione, è necessario istituire un programma di formazione sulla sicurezza informatica rivolto a tutti i dipendenti, per garantire che comprendano il proprio ruolo nel mantenimento di elevati livelli di sicurezza.
Ad esempio, supponiamo che stiate sviluppando un’applicazione su AWS utilizzando istanze Amazon EC2. In base al modello di responsabilità condivisa di AWS, mentre AWS si occupa della sicurezza fisica e della disponibilità delle risorse hardware alla base delle istanze Amazon EC2, nonché delle reti ad esse associate, spetta a voi gestire i sistemi operativi guest (compresi gli aggiornamenti) e le configurazioni del firewall applicate all’interno di queste macchine.
Per rafforzare ulteriormente questo aspetto relativo al controllo degli accessi degli utenti, è possibile utilizzare gli strumenti AWS Identity and Access Management (IAM) per concedere autorizzazioni in base alle attività che ciascun utente deve svolgere – ad esempio, concedendo solo autorizzazioni di lettura per i log o le query sul database. IAM consente inoltre l’integrazione con altri servizi, come i database, in modo che gli utenti non debbano ricorrere a connessioni remote, ma possano invece connettersi direttamente all’interno della rete privata, riducendo così al minimo i punti di esposizione.
Si apre così un interessante dibattito su se sia meglio adottare un approccio proattivo o reattivo in materia di sicurezza. Il primo approccio prevede di pianificare in anticipo e anticipare le potenziali minacce, mentre il secondo consiste nel trovare soluzioni solo dopo che si è già verificata una violazione della sicurezza. Come nella maggior parte dei dibattiti, entrambi gli approcci presentano pro e contro; tuttavia, per quanto riguarda l’implementazione del Modello di responsabilità condivisa di AWS, l’approccio proattivo è sicuramente la strada da seguire. Ciò include l’esecuzione periodica di scansioni delle vulnerabilità e test di penetrazione, la revisione regolare dei log per identificare attività anomale e la disponibilità di un piano di Recovery aggiornato in caso di emergenze.
- Secondo un sondaggio condotto da IDC nel 2020, il 64% dei professionisti IT ritiene che la sicurezza sia una responsabilità condivisa con i fornitori di servizi cloud come AWS, al fine di garantire un ambiente cloud sicuro.
- Da un rapporto McAfee del 2019 è emerso che le organizzazioni che utilizzano AWS hanno subito in media oltre 2.700 minacce alla sicurezza in un mese, il che sottolinea l’importanza di attenersi al modello di responsabilità condivisa per garantire una protezione più efficace.
- Un rapporto di Gartner del 2018 stima che entro il 2025 il 99% delle falle nella sicurezza del cloud sarà imputabile ai clienti, sottolineando l’importanza di comprendere e gestire le responsabilità dei clienti nell’ambito del modello di responsabilità condivisa.
Controllo degli accessi degli utenti e pratiche di gestione dei dati
Un ambito in cui i clienti hanno una notevole responsabilità nell’ambito del modello di responsabilità condivisa è quello del controllo degli accessi degli utenti e delle pratiche di gestione dei dati. Quando si ha a che fare con dati critici, le autorizzazioni dei clienti devono essere verificate regolarmente nell’ambito delle migliori pratiche IAM. In questo modo è possibile garantire che ogni utente abbia accesso solo a ciò di cui ha bisogno e nient’altro.
Le migliori pratiche di gestione dei dati richiedono l’applicazione di controlli rigorosi sulle modalità di archiviazione, elaborazione, trasmissione, accesso e cancellazione dei dati durante l’intero ciclo di vita degli stessi. Gli ambienti in cui sono presenti dati sensibili devono essere protetti da meccanismi di controllo degli accessi basati sui ruoli, nonché da soluzioni di crittografia come il protocollo TLS (Transport Layer Security), che garantiscono protezione contro le intercettazioni e gli attacchi “man-in-the-middle”.
Supponiamo che tu disponga di un team di sviluppatori che lavora su applicazioni critiche all’interno della tua infrastruttura. Utilizzando le policy IAM di AWS insieme ad Amazon CloudWatch Logs Insights, puoi monitorare l’attività degli utenti per scoprire chi ha effettuato l’accesso a quali parti del tuo sistema e in quale momento. Grazie a questi dati, puoi individuare eventuali modelli insoliti o errori nei tentativi di accesso che potrebbero indicare una potenziale violazione della sicurezza.
Inoltre, integrando vari servizi AWS è possibile creare un ambiente sicuro in cui si impedisce agli utenti di divulgare informazioni sensibili al di fuori della propria organizzazione. Un esempio potrebbe essere l’utilizzo di Amazon Macie insieme ad AWS KMS per gestire le chiavi di crittografia, in modo che i dati sensibili archiviati su S3 vengano automaticamente crittografati al momento della scrittura e decrittografati al momento della lettura. In questo modo, si impedisce l’accesso non autorizzato alle informazioni sensibili anche nel caso in cui i bucket vengano accidentalmente esposti.
Quando si tratta di gestire i controlli di accesso degli utenti, non esiste un approccio valido per tutti; ogni organizzazione ha infatti esigenze diverse e deve quindi implementare la soluzione più adatta al proprio caso d’uso. Tuttavia, per implementare in modo efficiente il modello di responsabilità condivisa di AWS, i clienti devono impegnarsi concretamente a mantenere un ambiente sicuro e conforme agli standard di settore.
Vantaggi del modello di responsabilità condivisa di AWS
Il modello di responsabilità condivisa di AWS offre numerosi vantaggi alle aziende che desiderano proteggere la propria infrastruttura IT mantenendo al contempo la flessibilità nell’implementazione. Un chiaro vantaggio è che il modello consente alle organizzazioni di concentrarsi sulle proprie competenze chiave, anziché dedicare tempo e risorse alla sicurezza IT. Affidando ad AWS la responsabilità della «sicurezza del cloud», le organizzazioni possono invece concentrarsi sulla gestione dei propri dati, delle applicazioni e di altre funzioni aziendali critiche.
Un altro vantaggio è che AWS gestisce l’intera infrastruttura fisica e di rete, riducendo i rischi di accessi non autorizzati, violazioni dei dati o interruzioni del servizio. Grazie alla sua rete globale di data center, AWS fornisce servizi di hosting affidabili e ad alte prestazioni 24 ore su 24. Questo livello di supporto consente alle aziende di scalare facilmente la propria infrastruttura in base alle esigenze, senza dover gestire autonomamente gli aggiornamenti hardware o le implementazioni di rete.
Inoltre, sia AWS che i suoi clienti condividono il controllo sulle pratiche di gestione dei dati, il che significa che i clienti possono scegliere gli strumenti e le tecnologie più adatti per gestire i propri dati in modo conforme ai propri requisiti di conformità. Ciò significa anche che i clienti possono avvalersi dei controlli di sicurezza e delle certificazioni di conformità di AWS, leader del settore, per dimostrare la propria adesione ai quadri normativi.
Ad esempio, un operatore sanitario che utilizza un sistema di cartelle cliniche elettroniche potrebbe avvalersi di Amazon RDS per ospitare il proprio database, implementando al contempo la crittografia dei dati inattivi per soddisfare i requisiti di conformità HIPAA. Sfruttando l’esperienza di AWS in materia di sicurezza e controlli di conformità, l’azienda può evitare molte delle difficoltà legate alla gestione della propria infrastruttura IT, pur continuando a rispettare i principali standard normativi.
Un altro vantaggio è che le aziende possono sfruttare la scalabilità e l’agilità offerte dalle piattaforme di cloud computing come AWS. Grazie alla possibilità di allocare risorse su richiesta e di aumentare o ridurre rapidamente la capacità in base alle esigenze, le aziende possono rispondere più prontamente alle mutevoli condizioni di mercato, evitando al contempo costi superflui.
Nel complesso, il modello di responsabilità condivisa offre un approccio flessibile ma solido alla sicurezza IT, personalizzato in base alle esigenze specifiche di ciascuna organizzazione. Sfruttando l’ampia gamma di strumenti e tecnologie di AWS per la sicurezza e la conformità, le aziende possono implementare le migliori pratiche per la gestione dei dati e la sicurezza delle applicazioni, concentrandosi al contempo sulle proprie competenze chiave.
Maggiore sicurezza e flessibilità in materia di conformità
La sicurezza e la conformità sono elementi fondamentali di qualsiasi infrastruttura IT, in particolare per le aziende che trattano dati sensibili o soggetti a normative specifiche. Il modello di responsabilità condivisa di AWS offre una maggiore flessibilità in termini di sicurezza e conformità, consentendo alle organizzazioni di avvalersi di una vasta gamma di strumenti e tecnologie per soddisfare le proprie esigenze specifiche.
Uno dei vantaggi principali è che AWS offre diversi livelli di controlli di sicurezza che possono essere utilizzati in varie combinazioni per soddisfare esigenze specifiche. Ad esempio, i clienti possono utilizzare Amazon Inspector per valutare le vulnerabilità di sicurezza delle proprie applicazioni, avvalendosi al contempo di Features come AWS Identity and Access Management (IAM) per controllare l’accesso degli utenti.
Inoltre, AWS offre funzionalità di crittografia di livello aziendale che consentono ai clienti di proteggere i propri dati sia in fase di archiviazione che durante il trasferimento. Ciò include il supporto per Secure Sockets Layer (SSL)/Transport Layer Security (TLS) per il traffico web, il Key Management Service (KMS) per la gestione delle chiavi crittografiche e gli Hardware Security Module (HSM) per una maggiore sicurezza. Mettendo a disposizione queste tecnologie, AWS consente ai clienti di realizzare architetture altamente sicure all’interno del proprio ambiente cloud.
Un altro modo in cui il modello di responsabilità condivisa favorisce una maggiore sicurezza e flessibilità in materia di conformità consiste nel consentire alle organizzazioni di mantenere il controllo sugli aspetti chiave della propria infrastruttura IT. Ad esempio, l’utilizzo di servizi AWS come Amazon EC2 Dedicated Hosts consente ai clienti di ospitare istanze su hardware dedicato esclusivamente al loro uso, garantendo così un maggiore controllo sul proprio ambiente informatico e riducendo i rischi di accessi non autorizzati o altre problematiche di sicurezza.
Un’organizzazione che gestisce informazioni riservate potrebbe necessitare di controlli più rigorosi rispetto a quelli previsti di default dall’architettura shared tenancy. In tali casi, l’utilizzo di una soluzione di hosting dedicata tramite AWS garantirebbe un ambiente informatico più sicuro senza compromettere la flessibilità o le prestazioni.
Infine, AWS offre una serie di certificazioni di conformità che possono aiutare le organizzazioni a soddisfare i requisiti normativi o specifici del settore. Tra le certificazioni di conformità applicabili a diversi settori figurano, tra le altre, ISO 27001, PCI DSS, SOC 1/2/3 e HIPAA. Sfruttando queste certificazioni e altri strumenti di sicurezza in combinazione con il modello di responsabilità condivisa, le organizzazioni possono realizzare infrastrutture IT sicure e conformi alle normative, in grado di soddisfare le loro esigenze specifiche.
Nella prossima sezione analizzeremo alcune delle sfide che le organizzazioni potrebbero dover affrontare nell’implementazione del modello di responsabilità condivisa di AWS.
Affrontare le potenziali sfide del modello di responsabilità condivisa
Sebbene il Modello di responsabilità condivisa di AWS fornisca un quadro chiaro per la ripartizione delle responsabilità tra clienti e fornitori di servizi, possono sorgere alcune difficoltà. Tra queste figurano la necessità di capire chi sia responsabile di particolari aspetti della sicurezza, la gestione dei controlli di accesso degli utenti e la garanzia del rispetto delle normative di conformità. In questa sezione analizzeremo alcune delle difficoltà più comuni che le organizzazioni devono affrontare nell’implementazione del modello di responsabilità condivisa e forniremo suggerimenti su come superarle.
Una delle sfide più comuni che le organizzazioni devono affrontare è stabilire quali siano le loro responsabilità e quali quelle di AWS in materia di conformità. A seconda dei servizi AWS utilizzati e dell’integrazione con l’ambiente IT, le aree di responsabilità possono ricadere su soggetti diversi. Ad esempio, un’organizzazione potrebbe non avere chiaro quale normativa sia applicabile al proprio utilizzo dei servizi AWS o come configurarli correttamente. Un approccio utile in questo caso sarebbe quello di consultare la documentazione di AWS o esperti del settore per chiarire eventuali punti di incertezza.
Un’altra potenziale sfida consiste nel garantire che gli utenti dispongano di controlli di accesso adeguati, mantenendo al contempo un livello di sicurezza appropriato. Il modello di responsabilità condivisa richiede che i clienti gestiscano le proprie identità e le politiche di controllo degli accessi all’interno del proprio ambiente utilizzando gli strumenti IAM forniti da AWS. Ciò significa che i clienti devono assicurarsi che gli utenti siano autorizzati ad accedere solo a ciò di cui hanno bisogno per svolgere le proprie mansioni. Inoltre, i clienti devono garantire che i ruoli e le autorizzazioni siano assegnati in modo appropriato in base al ruolo lavorativo, al livello gerarchico, ecc., limitando al contempo l’accesso quando non necessario. Una gestione inadeguata di tali aspetti può comportare gravi conseguenze, quali la perdita di dati o la compromissione dei sistemi.
Per affrontare tali problematiche, alcune organizzazioni scelgono di implementare soluzioni di gestione delle identità separate al di fuori di AWS. Sebbene ciò possa semplificare l’amministrazione e garantire un maggiore controllo sulle politiche di accesso degli utenti, introduce anche ulteriore complessità in ambienti già di per sé complessi. Inoltre, molti fornitori terzi non dispongono di integrazioni mature con i servizi AWS o potrebbero richiedere interventi di sviluppo personalizzati.
Una possibile soluzione consiste nell’utilizzo, da parte delle organizzazioni, del servizio Identity and Access Management (IAM) di AWS. IAM offre una gamma di strumenti e servizi che consentono alle organizzazioni di definire, gestire e applicare le politiche di controllo degli accessi all’interno del proprio ambiente AWS. Inoltre, i clienti possono avvalersi dei ruoli IAM per fornire credenziali temporanee agli utenti esterni oppure utilizzare opzioni di accesso federato per supportare le funzionalità di Single Sign-On (SSO).
Un’altra sfida che può presentarsi nell’ambito del Modello di Responsabilità Condivisa è garantire che vengano mantenuti livelli di sicurezza adeguati in ogni momento. Mentre AWS gestisce la sicurezza del proprio livello infrastrutturale e dei servizi astratti della piattaforma, i clienti sono responsabili dell’implementazione di sistemi operativi guest, applicazioni e configurazioni dei dati sicure. Un’analogia utile in questo contesto è quella della costruzione di una casa: proprio come gli appaltatori devono assicurarsi che le fondamenta siano stabili prima di aggiungere ulteriori livelli di costruzione, le organizzazioni devono implementare adeguati protocolli di sicurezza di base prima di affidare ulteriori dati o carichi di lavoro ad AWS.
In conclusione, sebbene il modello di responsabilità condivisa di AWS offra un eccellente quadro di riferimento per la ripartizione delle responsabilità tra fornitori e clienti, la sua attuazione pratica può presentare alcune difficoltà. Tra queste figurano comunemente questioni relative alle normative di conformità, ai controlli di accesso degli utenti e all’implementazione di politiche di sicurezza adeguate. Sfruttando gli strumenti AWS esistenti, come Identity and Access Management (IAM), definendo con cura le aree di responsabilità e seguendo le migliori pratiche relative alla gestione della configurazione della sicurezza, le organizzazioni possono affrontare meglio queste sfide e trarre, nel tempo, i vantaggi offerti da questo modello.
Domande frequenti
Quali sono le responsabilità del cliente nel modello di responsabilità condivisa di AWS?
Nel modello di responsabilità condivisa di AWS, i clienti sono responsabili della sicurezza dei propri dati e delle proprie applicazioni fino al livello del sistema operativo. Ciò comprende la configurazione delle impostazioni di sicurezza, la gestione dei controlli di accesso e lo svolgimento di valutazioni periodiche della sicurezza.
Secondo una ricerca condotta da Gartner, «fino al 2025, il 99% delle violazioni della sicurezza nel cloud sarà imputabile al cliente» (Gartner, 2018). Ciò evidenzia l’importanza di comprendere e adempiere alle responsabilità del cliente nel modello di responsabilità condivisa.
AWS mette a disposizione un’ampia gamma di strumenti e risorse per aiutare i clienti ad adempiere alle proprie responsabilità. Tra questi figurano funzionalità di sicurezza quali Identity and Access Management (IAM) e servizi come AWS Config, che consente il monitoraggio continuo e i controlli di conformità.
In definitiva, è fondamentale che i clienti comprendano e si assumano le proprie responsabilità al fine di proteggere i propri dati e le proprie applicazioni sulla piattaforma AWS.
Quali sono le responsabilità del fornitore AWS nel modello di responsabilità condivisa?
Nel modello di responsabilità condivisa di AWS, le responsabilità del fornitore comprendono la sicurezza e la gestione dell’infrastruttura sottostante che supporta il cloud. Ciò include la sicurezza fisica dei data center, la configurazione della rete e dei firewall, nonché la sicurezza operativa, come il monitoraggio e la risposta agli incidenti.
Secondo un rapporto pubblicato da Gartner nel 2022, “AWS continua a essere riconosciuta come leader nel settore IaaS del cloud pubblico grazie alla sua offerta completa di servizi e alla sua competenza nella gestione di infrastrutture su larga scala”. Il rapporto sottolinea inoltre la solida posizione di AWS in materia di sicurezza e conformità.
Inoltre, AWS offre ai clienti numerose funzionalità di sicurezza, tra cui la gestione delle identità e degli accessi, opzioni di crittografia, strumenti per la sicurezza della rete e certificazioni di conformità. Queste funzionalità sono progettate per aiutare i clienti ad adempiere ai propri obblighi in materia di responsabilità condivisa.
Tuttavia, è importante sottolineare che, sebbene AWS fornisca un’infrastruttura sicura, i clienti rimangono comunque responsabili della sicurezza delle proprie applicazioni, dei propri dati e delle altre risorse presenti nel cloud. Ciò comprende la corretta configurazione dei controlli di accesso, l’applicazione delle patch ai sistemi operativi e alle applicazioni e il monitoraggio di potenziali minacce o vulnerabilità.
Nel complesso, comprendere il modello di responsabilità condivisa è fondamentale per qualsiasi organizzazione che utilizzi servizi cloud. Collaborando con il proprio fornitore (in questo caso AWS), i clienti possono garantire che i propri dati e le proprie risorse siano adeguatamente protetti nel cloud.
In che modo il modello di responsabilità condivisa di AWS si differenzia dai modelli di altri fornitori di servizi cloud?
Il modello di responsabilità condivisa di AWS si distingue da quello di altri fornitori di servizi cloud in quanto definisce chiaramente le responsabilità in materia di sicurezza sia del cliente che di AWS. Ciò significa che i clienti hanno un maggiore controllo sui propri dati e sulla propria infrastruttura, pur continuando a beneficiare delle misure di sicurezza fornite da AWS.
A differenza di altri fornitori di servizi cloud, AWS si assume la responsabilità della sicurezza fisica dei propri data center, oltre che della sicurezza della propria infrastruttura cloud. Ciò comprende la sicurezza dell’hardware, del livello di virtualizzazione, dei luoghi di archiviazione e dell’infrastruttura di rete.
D’altra parte, i clienti sono responsabili della sicurezza delle proprie applicazioni e dei propri dati all’interno della piattaforma AWS. Ciò comprende la configurazione dei controlli di accesso, la gestione delle identità e delle autorizzazioni degli utenti, la crittografia dei dati in transito e inattivi e la garanzia della conformità alle normative.
Secondo un rapporto pubblicato da Gartner nel 2020, il modello di responsabilità condivisa di AWS ha svolto un ruolo significativo nell’aiutare i clienti a migliorare il proprio livello complessivo di sicurezza. Infatti, Gartner ha affermato che «entro il 2023, il 99% delle falle nella sicurezza del cloud sarà imputabile al cliente».
In sintesi, definendo chiaramente le responsabilità in materia di sicurezza di entrambe le parti coinvolte, il modello di responsabilità condivisa di AWS offre ai clienti un maggiore controllo sulla propria sicurezza, consentendo loro al contempo di beneficiare della sicurezza di livello mondiale dell’infrastruttura cloud fornita da AWS.
Esistono idee sbagliate comuni riguardo al modello di responsabilità condivisa di AWS?
Sì, esistono idee errate molto diffuse riguardo al modello di responsabilità condivisa di AWS. Una delle più diffuse è che i clienti tendono a credere che, una volta effettuato il passaggio al cloud, tutte le responsabilità in materia di sicurezza ricadano interamente su AWS. Tuttavia, ciò non è vero ed è importante che le aziende comprendano come viene condivisa la responsabilità quando utilizzano AWS.
Secondo un sondaggio condotto da LogicMonitor nel 2019, il 66% dei professionisti IT riteneva che i fornitori di servizi cloud fossero gli unici responsabili della sicurezza dei dati dei propri clienti. Inoltre, il 70% degli intervistati riteneva di avere minori responsabilità in materia di sicurezza in un ambiente cloud rispetto alle tradizionali infrastrutture IT on-premise. Queste statistiche suggeriscono che permanga ancora un malinteso riguardo alla sicurezza e alle responsabilità nel cloud.
È fondamentale sottolineare che, sebbene AWS gestisca la sicurezza fisica e la conformità della propria infrastruttura, i clienti sono responsabili della gestione dei controlli di sicurezza all’interno dei propri account. I clienti devono garantire la corretta configurazione delle proprie applicazioni e infrastrutture e implementare misure di protezione quali firewall, gestione delle identità e degli accessi (IAM), crittografia dei dati, gestione delle patch e altro ancora.
Cito una dichiarazione tratta dal white paper di AWS sul modello di responsabilità condivisa:
«I clienti mantengono il controllo sulle misure di sicurezza che scelgono di implementare per proteggere i propri contenuti, la piattaforma, le applicazioni, i sistemi e le reti, esattamente come farebbero in un data center in loco.»
In conclusione, comprendere il modello di responsabilità condivisa di AWS è fondamentale per le aziende che utilizzano AWS o che intendono migrare sul cloud. È essenziale riconoscere che, sebbene AWS fornisca eccellenti misure di sicurezza, i clienti devono assumersi la responsabilità dei controlli di sicurezza all’interno delle proprie infrastrutture.
In che modo il modello di responsabilità condivisa influisce sulla sicurezza e sulla conformità in AWS?
Il modello di responsabilità condivisa è un concetto fondamentale in AWS che definisce le diverse responsabilità in materia di sicurezza tra il fornitore di servizi cloud e i suoi clienti. Questo modello consente agli utenti di avere un maggiore controllo sui propri dati, permettendo al contempo ad AWS di mantenere gli standard di sicurezza necessari.
Dal punto di vista della sicurezza, i clienti sono responsabili della protezione delle proprie applicazioni, dei dati e delle credenziali, nonché della gestione dei requisiti di conformità, mentre AWS è responsabile della sicurezza della propria infrastruttura. Amazon afferma che la propria infrastruttura è progettata per essere altamente sicura e che ha implementato controlli approfonditi per mantenere tale livello di sicurezza, quali controlli fisici e ambientali, controlli di rete e perimetrali e controlli di accesso. Inoltre, AWS fornisce misure di sicurezza integrate quali la crittografia, strumenti di monitoraggio e servizi di gestione delle identità e degli accessi.
In termini di conformità, AWS rispetta diversi standard di settore, quali l’HIPAA per le organizzazioni sanitarie e il PCI DSS per le società che gestiscono transazioni con carte di pagamento. Tuttavia, spetta in ultima istanza ai clienti garantire la conformità alle normative pertinenti al proprio settore o alla propria regione.
Secondo un rapporto pubblicato da McAfee nel 2020, i servizi di archiviazione cloud configurati in modo errato sono stati la causa principale della fuga di 1,5 miliardi di record solo nella prima metà dell’anno. Ciò evidenzia l’importanza di comprendere le proprie responsabilità in un ambiente AWS. L’adozione delle migliori pratiche, come l’utilizzo dell’autenticazione a più fattori (MFA) per l’accesso degli utenti e la crittografia dei dati sensibili, può ridurre notevolmente il rischio di violazioni dei dati.
In definitiva, comprendere il modello di responsabilità condivisa è fondamentale per garantire un livello adeguato di sicurezza e conformità in AWS. Sfruttando le funzionalità infrastrutturali di AWS e adottando al contempo efficaci misure di sicurezza a livello aziendale, le imprese possono garantire un ambiente cloud sicuro.
