Demistificazione dei requisiti SOC 2 per la protezione dei dati

In un precedente articolo del blog, ho illustrato in dettaglio come la piattaforma di protezione dei dati di Clumio per Amazon RDS sia stata utilizzata in un audit SOC 2 condotto dall’AICPA per dimostrare che fossero state implementate procedure adeguate di backup e ripristino per una fonte di dati critica. In questo articolo del blog tratterò gli aspetti più generali della protezione dei dati, della sicurezza delle informazioni e dei requisiti di conformità contenuti nei Criteri dei Servizi di Fiducia del 2017, su cui si basa lo standard SOC 2.

Cosa significa essere conformi allo standard SOC 2?

Il Service Organization Control 2 (comunemente denominato SOC 2) è una relazione sui controlli relativi alle organizzazioni di servizi che forniscono servizi ad altre organizzazioni, redatta da un revisore indipendente. La relazione illustra in dettaglio in che modo la vostra organizzazione ha implementato le linee guida TSC (Trust Services Criteria) del 2017 (PDF) e l’efficacia con cui i controlli hanno funzionato durante il periodo di riferimento del rapporto (di solito 6 mesi o più). La conformità SOC 2 è un indicatore per i clienti e dimostra, tramite i rapporti di conformità, che essi possono fidarsi del fatto che i servizi forniti soddisfano una serie standardizzata di controlli di qualità. Queste certificazioni, tra cui SOC 2, sono estremamente preziose nella prevenzione delle violazioni dei dati.

I criteri sono 5 e riguardano la sicurezza dei dati e diverse pratiche di sicurezza:

• Sicurezza
• Riservatezza
• Disponibilità
• Integrità del processo
• Privacy

insieme a una serie di Criteri Comuni. La maggior parte delle organizzazioni seleziona, progetta e implementa controlli che garantiscano, come minimo, la sicurezza, la riservatezza e la disponibilità. I Criteri Comuni devono essere rispettati indipendentemente dai criteri aggiuntivi selezionati.

I Criteri Comuni in relazione agli obblighi in materia di protezione dei dati

CC6.4 L’organizzazione limita l’accesso fisico alle strutture e alle risorse informative protette (ad esempio, strutture dei centri dati, archivi dei supporti di backup e altre aree sensibili) al personale autorizzato, al fine di soddisfare gli obiettivi dell’organizzazione.

Se utilizzi un fornitore di servizi cloud come Amazon Web Services (AWS), beneficerai dei controlli fisici e ambientali di AWS che proteggono i suoi data center. Tuttavia, i tuoi supporti di archiviazione dei backup sarebbero in genere degli snapshot presenti nei tuoi account AWS. Questi risiedono nel tuo account, all’interno dello stesso dominio amministrativo dei tuoi dati online. Ciò può risultare indesiderabile dal punto di vista della sicurezza, specialmente se un incidente come un attacco ransomware consentisse a qualcuno di assumere il controllo del tuo account. Se qualcuno ottiene il controllo del tuo account, ottiene anche il controllo dei tuoi backup. Tuttavia, se i tuoi dati sono protetti da Clumio, i tuoi supporti di backup si trovano in un dominio amministrativo separato, utilizzando una chiave di crittografia dedicata. L’aggiunta dell’autenticazione a due fattori o di un provider di identità esterno basato su SAML al tuo account Clumio garantisce una protezione aggiuntiva.

CC6.7 L’organizzazione limita la trasmissione, il trasferimento e la rimozione delle informazioni agli utenti e ai processi interni ed esterni autorizzati e le protegge durante la trasmissione, il trasferimento o la rimozione, al fine di soddisfare gli obiettivi dell’organizzazione.

Per quanto riguarda in particolare la versione CC6.7, sto analizzando questo aspetto specifico:

• Protezione dei supporti rimovibili — Per i supporti rimovibili (come chiavette USB e nastri di backup) vengono utilizzate, a seconda dei casi, tecnologie di crittografia e misure di protezione fisica.

La piattaforma di Clumio integra la crittografia, con la possibilità di scegliere tra una chiave gestita da Clumio o una chiave fornita dall’utente…!

Ora possiamo esaminare alcuni aspetti più complessi per molte organizzazioni:

1. CC7.5 L’organizzazione individua, sviluppa e attua misure volte al ripristino a seguito di incidenti di sicurezza individuati.

In questo controllo ci sono diversi aspetti su cui soffermarsi, ma mi concentrerò su questi:

• Ripristino dell’ambiente interessato — Le attività mirano a riportare l’ambiente interessato al normale funzionamento tramite la ricostruzione dei sistemi, l’aggiornamento del software, l’installazione di patch e la modifica delle configurazioni, secondo necessità.
• Miglioramento delle procedure di risposta e di Recovery — Si analizzano gli insegnamenti tratti e si migliorano il piano di risposta agli incidenti e le procedure di Recovery.
• Esegue i test relativi al piano di Recovery in caso di incidenti — I test relativi al piano di Recovery in caso di incidenti vengono effettuati a cadenza periodica.

2. CC9.1 L’entità identifica, seleziona e sviluppa attività volte a mitigare i rischi derivanti da potenziali interruzioni dell’attività.

Si consideri questo punto chiave, ponendo particolare enfasi sul trattamento dei dati e sull’importanza di una corretta crittografia degli stessi:

• Prende in considerazione la mitigazione dei rischi di interruzione dell’attività — Le attività di mitigazione dei rischi comprendono lo sviluppo di politiche, procedure, comunicazioni e soluzioni alternative di elaborazione pianificate per rispondere a eventi di sicurezza che interrompono le operazioni aziendali, mitigarne l’impatto e ripristinare la normalità. Tali politiche e procedure includono processi di monitoraggio, informazione e comunicazione volti a garantire il raggiungimento degli obiettivi dell’entità durante le fasi di risposta, mitigazione e Recovery.

Certamente, questi controlli dovrebbero rappresentare una priorità assoluta nell’attuale contesto caratterizzato da minacce informatiche costanti.

Una delle principali funzionalità di Clumio, che sfrutta il cloud computing, è la possibilità di eseguire ciò che chiamiamo “Recovery tra account”. Posso collegare più account AWS al mio ambiente Clumio e proteggere risorse quali istanze EC2, volumi EBS, bucket S3, ecc.  Tuttavia, al momento della Recovery, posso scegliere di ripristinare alcune o tutte queste risorse in qualsiasi account AWS che ho collegato, non solo nell’account in cui le fonti dei dati erano originariamente protette. Ciò consente alle aziende di simulare un processo di audit, una funzionalità fondamentale negli audit di conformità. Ciò significa che posso avere un account AWS collegato e pronto per eseguire la Recovery a seguito di un incidente.  Questo non solo può aiutare enormemente il Recovery in caso di un incidente reale, ma mi permette anche di simulare quella stessa procedura a scopo di test e perfezionamento. Il fulcro di standard come SOC 2 e ISO 27001 è che le procedure vengono testate, perfezionate, ampliate e migliorate nel tempo. Il Recovery del proprio ambiente di un anno fa potrebbe non essere lo stesso del Recovery del proprio ambiente della prossima settimana. Nel corso dell’ultimo anno potreste aver aggiunto nuovi dati o risorse fondamentali per il funzionamento dell’ambiente. Testare e aggiornare frequentemente le vostre procedure di Recovery dovrebbe essere un elemento fondamentale per un funzionamento ottimale.

Criteri relativi ai servizi di fiducia in materia di disponibilità

Passiamo ora a controlli più specifici, abbinati a elementi quali la crittografia e il trattamento dei dati. Nei criteri relativi al servizio di fiducia “Disponibilità”, occorre considerare quanto segue:

A1.2 L’ente autorizza, progetta, sviluppa o acquisisce, implementa, gestisce, approva, mantiene e monitora le misure di tutela ambientale, il software, i processi di backup dei dati e l’infrastruttura di Recovery al fine di raggiungere i propri obiettivi.

A1.3 L’ente verifica che le procedure del piano di Recovery a supporto del ripristino del sistema siano conformi ai propri obiettivi.

Gli aspetti specifici su cui concentrarsi in questi controlli sono:

(in A1.2)

• Individua i dati di cui è necessario eseguire il backup — I dati vengono analizzati per stabilire se sia necessario eseguire il backup.
• Esegue il backup dei dati — Sono in atto procedure per il backup dei dati, il monitoraggio volto a individuare eventuali errori nel processo di backup e l’adozione di misure correttive qualora tali errori si verifichino.
• Prevede l’archiviazione fuori sede — I dati di backup vengono archiviati in una sede sufficientemente distante dalla sede di archiviazione principale, in modo tale da ridurre a un livello adeguato la probabilità che un evento di natura ambientale o di sicurezza possa compromettere entrambe le serie di dati.

(in A1.3)

• Attua i test dei piani di continuità operativa — I test dei piani di continuità operativa vengono effettuati a cadenza periodica. I test comprendono: (1) lo sviluppo di scenari di test basati sulla probabilità e sull’entità delle minacce; (2) l’analisi delle componenti di sistema dell’intera entità che potrebbero compromettere la disponibilità; (3) scenari che tengono conto della potenziale indisponibilità del personale chiave; e (4) la revisione dei piani e dei sistemi di continuità operativa sulla base dei risultati dei test.
• Verifica dell’integrità e della completezza dei dati di backup — L’integrità e la completezza delle informazioni di backup vengono verificate periodicamente

La piattaforma Clumio si basa su un approccio alla protezione dei dati guidato da criteri. È possibile selezionare i criteri relativi alle risorse di cui eseguire il backup, in base al nome, al tipo, al raggruppamento, ai tag, ecc. Successivamente, si definisce un criterio e, facoltativamente, un intervallo di tempo che determina quando e con quale frequenza le risorse vengono protette. Questo potente metodo garantisce una chiara definizione e implementazione dei punti chiave elencati nel controllo A1.2 sopra riportato, oltre a contribuire al rispetto degli standard relativi al trattamento e alla crittografia dei dati.

Per quanto riguarda l’A1.3, l’attenzione è rivolta alla continuità operativa e al concetto ad essa strettamente correlato, ovvero il ripristino di emergenza. Questo controllo è inoltre strettamente correlato al controllo CC7.5 sopra menzionato, poiché un incidente di sicurezza potrebbe facilmente determinare la necessità di attivare le procedure di continuità operativa e di ripristino di emergenza. È importante ribadire che testare le proprie procedure è di fondamentale importanza. Non esiste una soluzione “facile”, ma verificare l’integrità e la ripristinabilità dei dati protetti in Clumio è semplice tramite l’interfaccia utente e automatizzabile tramite l’API.

Riservatezza

Gli ultimi controlli di cui parleremo rientrano nei criteri di riservatezza. Eccoli:

1. C1.1 L’ente identifica e conserva le informazioni riservate al fine di soddisfare i propri obiettivi in materia di riservatezza.
2. C1.2 L’ente divulga informazioni riservate al fine di soddisfare i propri obiettivi in materia di riservatezza.

I punti chiave sono:

• Identificazione delle informazioni riservate — Sono state adottate procedure per identificare e classificare le informazioni riservate al momento della loro ricezione o creazione, nonché per stabilire il periodo di conservazione delle stesse.
• Protezione delle informazioni riservate dalla distruzione — Sono state adottate procedure volte a proteggere le informazioni riservate dalla cancellazione o dalla distruzione durante il periodo di conservazione specificato.
• Identificazione delle informazioni riservate da distruggere — Sono in vigore procedure volte a identificare le informazioni riservate che devono essere distrutte al termine del periodo di conservazione.
• Distruzione delle informazioni riservate — Sono state adottate procedure per cancellare o distruggere in altro modo le informazioni riservate che sono state identificate come soggette a distruzione.

Questi aspetti possono risultare complessi a seconda delle modalità di archiviazione dei dati. Tuttavia, l’approccio alla protezione dei dati basato su criteri prestabiliti può attenuare alcune di queste difficoltà. 

Conclusione

A conti fatti, molte organizzazioni devono far fronte a oneri significativi in materia di protezione dei dati. Le esigenze sono molteplici: è necessario proteggere i dati in modo sicuro ed essere in grado di dimostrare le procedure che li tutelano e ne garantiscono il recupero. I controlli qui descritti rappresentano solo una parte dei requisiti previsti per un audit SOC 2, ma si tratta di controlli fondamentali che offrono vantaggi ben oltre l’ambito di un semplice rapporto di conformità. Per saperne di più su come semplificare i tuoi audit, prenota una demo personalizzata con un esperto di cloud.

Per ottenere ulteriori informazioni sulla conformità SOC 2 e consigli da parte di esperti che ti aiutino a superare il tuo prossimo audit SOC 2, iscriviti al webinar “Simplifying SOC 2 Compliance”, una risorsa eccellente per chi ricopre ruoli di governance.