Il cloud ha rivoluzionato il modo di operare delle aziende, consentendo loro di sfruttare la sua scalabilità e flessibilità riducendo al contempo i costi. Tuttavia, la protezione dei dati rimane una sfida fondamentale: secondo una ricerca di IDC, il 98% delle aziende ha segnalato una violazione dei dati nel cloud entro 1,5 anni¹, il che evidenzia la necessità per le organizzazioni di adottare misure aggiuntive per proteggere i propri dati.
I fornitori di servizi cloud comprendono l’importanza di proteggere i dati e le applicazioni all’interno del proprio ambiente e hanno sviluppato un modello di responsabilità condivisa (SRM). Questo modello richiede alle aziende di assumersi la responsabilità della sicurezza dei propri dati e delle proprie applicazioni all’interno dell’ambiente cloud.
I fornitori di servizi cloud adottano approcci diversi alla protezione dei dati, il che aumenta la complessità; le aziende devono quindi comprendere i dettagli specifici e le sfumature che variano da un fornitore all’altro.
Pertanto, i clienti devono sviluppare una strategia olistica di protezione dei dati per assicurarsi di disporre dei controlli necessari a proteggere i propri dati anche quando si affidano agli strumenti nativi forniti dal proprio provider. Questo articolo analizzerà cosa comporti questo modello per i clienti e perché sia essenziale disporre di una strategia completa di protezione dei dati negli ambienti cloud e ibridi per utilizzare i servizi cloud in modo sicuro e protetto.
Perché le aziende stanno adottando sempre più il cloud computing?
Il cloud computing ha ampliato le possibilità per le aziende e offre numerosi vantaggi. L’esecuzione di carichi di lavoro, applicazioni e servizi sul cloud o in ambienti ibridi garantisce alle aziende una maggiore flessibilità e un’incredibile scalabilità per far fronte alla crescita. Oltre a questi preziosi benefici, la disponibilità di un’ampia varietà di applicazioni Software as a Service (SaaS) fornite tramite il cloud migliora le operazioni, ottimizza l’utilizzo delle risorse e apporta agilità ed efficienza ai carichi di lavoro aziendali. Non sorprende che la maggior parte delle aziende abbia già adottato il cloud o stia attivamente trasferendo i propri carichi di lavoro: secondo le stime di Gartner, entro il 2025 oltre il 95% dei nuovi carichi di lavoro digitali sarà implementato su piattaforme cloud-native³.
Un altro vantaggio fondamentale che rende il cloud computing così interessante è che consente agli utenti di accedere ai dati e alle applicazioni in modo rapido e semplice, senza richiedere conoscenze tecniche avanzate o competenze specifiche. Ciò rende più facile per le aziende implementare applicazioni e gestire i dati in tempi più brevi – cosa che altrimenti richiederebbe un notevole know-how tecnico o esperienza con gli ambienti IT tradizionali.
Per questi motivi, sempre più aziende stanno adottando il cloud computing per gestire i propri dati e le proprie applicazioni. L’SRM garantisce che sia i clienti che i fornitori comprendano quali elementi debbano essere protetti all’interno dell’ambiente cloud, in modo che le aziende possano sfruttare appieno questa tecnologia in tutta sicurezza.
Che cos’è il modello di responsabilità condivisa?
Il modello di responsabilità condivisa (SRM) è una strategia di sicurezza cloud secondo cui, mentre i fornitori di servizi cloud sono responsabili della sicurezza della propria infrastruttura di servizio, i clienti sono responsabili della sicurezza dei propri dati e delle proprie applicazioni all’interno dell’ambiente cloud. Questa ripartizione delle responsabilità è pensata per garantire che entrambe le parti comprendano cosa debba essere protetto e in che modo. Questo modello consente alle aziende di sfruttare la scalabilità e la flessibilità dei servizi cloud, confidando al contempo nella capacità del proprio fornitore di mantenere un’infrastruttura sicura.
Per utilizzare i servizi cloud in modo sicuro e protetto, i clienti devono comprendere il proprio ruolo nell’ambito dell’SRM. Ciò significa sviluppare una strategia olistica di protezione dei dati che tenga conto degli strumenti nativi del proprio fornitore e di eventuali misure di sicurezza aggiuntive che il cliente potrebbe dover adottare. In questo modo, i clienti possono proteggere meglio i propri dati da minacce quali attacchi dolosi, accessi non autorizzati, fughe di dati e altro ancora.
Di cosa sono responsabili i fornitori di servizi cloud?
I fornitori di servizi cloud sono responsabili della sicurezza e della privacy della propria infrastruttura di cloud computing, inclusi la sicurezza fisica, l’archiviazione dei dati, la protezione della rete, i firewall degli host, il controllo degli accessi e l’applicazione delle patch per le vulnerabilità del software. Devono inoltre garantire che i propri servizi soddisfino i requisiti di conformità legale e normativa. Oltre a fornire tutte queste componenti fondamentali di un ambiente cloud sicuro, sono anche responsabili dell’integrità operativa del proprio sistema, garantendone la disponibilità, la scalabilità, la tolleranza ai guasti, l’ottimizzazione delle prestazioni, la gestione dei costi e l’affidabilità complessiva.
Ogni fornitore offre una descrizione dettagliata di ciò che rientra nella propria copertura. Ad esempio, nella sua forma più semplice, AWS dichiara esplicitamente di essere “responsabile della protezione dell’infrastruttura su cui girano tutti i propri servizi nel cloud AWS”.
Un’altra responsabilità fondamentale dei fornitori di servizi cloud è quella di tenere informati i propri clienti su eventuali modifiche o aggiornamenti alle loro piattaforme o ai loro servizi. Ciò include avvisare i clienti quando viene rilasciata una nuova patch di sicurezza o quando un servizio non è più supportato. I fornitori dovrebbero inoltre disporre di una procedura ben definita per rispondere in modo rapido ed efficiente a eventuali incidenti di sicurezza che dovessero verificarsi.
I fornitori di servizi cloud dovrebbero inoltre adottare rigorose pratiche di gestione delle identità per controllare chi ha accesso ai dati dei clienti all’interno dell’ambiente cloud. Ciò comporta l’autenticazione delle identità degli utenti tramite metodi di autenticazione a più fattori e la revisione periodica delle autorizzazioni associate a ciascun account, al fine di garantire che solo il personale autorizzato possa accedere alle informazioni sensibili.
Infine, i fornitori di servizi cloud dovrebbero garantire la massima trasparenza nei confronti dei clienti riguardo alle modalità di protezione dei loro dati e informarli di eventuali novità o aggiornamenti in materia di conformità che potrebbero influire sulle loro attività.
In che modo le responsabilità possono variare da un fornitore di servizi cloud all’altro?
Sebbene il modello di responsabilità condivisa possa sembrare a prima vista semplice, i fornitori di servizi cloud adottano approcci diversi alla protezione dei dati dei propri clienti, il che significa che le loro responsabilità possono variare in modo significativo. Ad esempio, alcuni fornitori di servizi cloud potrebbero applicare politiche di controllo degli accessi più rigorose rispetto ad altri, il che implica che ai clienti potrebbero essere richiesti livelli più elevati di autenticazione o autorizzazione per accedere ai propri account e ai propri dati.
Anche altri fornitori offrono strumenti e Features diverse che i clienti possono utilizzare per proteggere i propri dati. Alcuni potrebbero fornire crittografia avanzata e servizi di gestione essenziali che i clienti possono utilizzare per garantire la sicurezza delle proprie informazioni nel cloud. Altri potrebbero fornire ai clienti funzionalità di auditing granulare per tracciare e monitorare chi ha effettuato l’accesso a file o directory specifici all’interno del proprio ambiente.
Inoltre, i requisiti di sicurezza di ciascun fornitore variano in base al tipo di servizi cloud offerti. Microsoft illustra in dettaglio come la ripartizione delle responsabilità tra i clienti e Microsoft cambi a seconda del tipo di implementazione. I fornitori di Infrastructure as a Service (IaaS) in genere richiedono ai clienti di assumersi la responsabilità di proteggere il sistema operativo, le applicazioni e i dati archiviati all’interno delle proprie macchine virtuali. I fornitori di Platform as a Service (PaaS), invece, spesso offrono più funzionalità pronte all’uso, come database gestiti, server web e framework di sviluppo, che devono essere configurati in base ai requisiti di sicurezza del cliente.
Infine, i clienti devono tenere presente che, sebbene i fornitori di servizi cloud siano responsabili di garantire ambienti e strumenti sicuri, non vi è alcuna garanzia che i dati dei clienti rimangano riservati o al sicuro se le aziende non attuano adeguatamente le migliori pratiche in materia di controllo degli accessi, crittografia e altre misure necessarie. Detto questo, le aziende devono comprendere quali siano le responsabilità di ciascun fornitore in materia di protezione dei dati per scegliere il partner più adatto alle proprie esigenze.
Le aziende dovrebbero esaminare attentamente le responsabilità di ciascun fornitore di servizi cloud per comprendere con precisione quali siano i propri obblighi e quali quelli del fornitore di servizi in materia di protezione dei dati da soggetti malintenzionati e configurazioni errate, nonché per garantire il rispetto dei requisiti di conformità.
Di cosa sono responsabili i clienti?
Sebbene i dati nel cloud siano soggetti alle stesse responsabilità di qualsiasi sistema informatico on-premise, molte aziende continuano a ignorare questo fatto. Il modello di responsabilità condivisa stabilisce che i clienti sono responsabili della sicurezza dei dati e delle applicazioni all’interno di un ambiente cloud; tuttavia, da alcune ricerche è emerso che solo il 39% delle organizzazioni è sicuro della propria capacità di farlo in modo efficace4.
Per garantire l’adempimento di tali responsabilità è necessario attuare ulteriori misure di sicurezza, quali il Backup and Recovery, la crittografia, la gestione delle identità e degli accessi e il monitoraggio.
Aspetti fondamentali relativi alla protezione dei dati
- Una solida strategia di protezione dei dati per tutti i carichi di lavoro è essenziale per garantire la piena visibilità e sicurezza degli ambienti cloud ibridi. Grazie a backup regolari di tutti i carichi di lavoro, le organizzazioni possono essere meglio preparate a reagire in caso di perdita di dati causata da un incidente di sicurezza informatica o da una calamità naturale. Inoltre, la disponibilità immediata dei dati consente ai team IT di ripristinare rapidamente ed efficacemente qualsiasi carico di lavoro perso, con tempi di inattività minimi.
- La crittografia è fondamentale per proteggere i dati sensibili, come le informazioni finanziarie o personali, dai tentativi di accesso non autorizzato da parte di soggetti esterni e di personale interno che potrebbe fare un uso improprio delle informazioni dei clienti. Tuttavia, solo il 17% delle aziende crittografa almeno la metà dei dati sensibili che archivia nel cloud⁵. I clienti dovrebbero assicurarsi di disporre di protocolli di crittografia affidabili in tutto il proprio ambiente e di riesaminare e applicare regolarmente le opzioni più recenti disponibili.
- La gestione delle identità e degli accessi (IAM) è fondamentale anche per i clienti dei servizi cloud. L’implementazione di un sistema IAM consentirà ai clienti di controllare chi ha accesso al proprio ambiente cloud a livello di utente, permettendo solo al personale autorizzato di visualizzare o modificare i dati. Utilizzando l’autenticazione a più fattori, i clienti possono godere di una maggiore protezione dalle violazioni e limitare i potenziali danni che un malintenzionato potrebbe causare. Inoltre, i clienti dovrebbero assicurarsi che i propri metodi di autenticazione rispettino gli standard stabiliti dall’ente di riferimento del proprio settore o dalle autorità di regolamentazione. Le aziende dovrebbero inoltre disporre di una politica di separazione dei compiti (SOD) per proteggere ulteriormente i dati nel cloud dall’uso improprio da parte di un singolo titolare di account.
- Il monitoraggio e la gestione degli ambienti cloud e ibridi rappresentano un’attività complessa, poiché le risorse di dati basate sul cloud sono in continua evoluzione. Pertanto, l’utilizzo di un servizio di monitoraggio e osservabilità è essenziale affinché gli amministratori possano garantire la sicurezza e la corretta gestione dei dati nel cloud. Strumenti cloud-native come Amazon CloudWatch e Azure Monitor consentono il monitoraggio in tempo reale e la visibilità sulle applicazioni e sulle risorse infrastrutturali cloud, ibride e on-premise. La disponibilità di analisi dei dati non solo aiuta gli amministratori a ricavare informazioni utili dai dati del cloud, ma consente loro anche di accedere a informazioni cruciali sulle prestazioni del proprio ambiente cloud.
Seguendo le migliori pratiche in materia di protocolli di sicurezza, le aziende possono assicurarsi di disporre dei controlli necessari per proteggere i propri dati, sfruttando al contempo appieno i vantaggi offerti dai servizi di cloud computing. In definitiva, spetta a ciascuna azienda, in base alle proprie circostanze specifiche, decidere quali misure concrete adottare per proteggere le informazioni sensibili da minacce esterne o accessi non autorizzati.
Perché è necessaria una strategia olistica di protezione dei dati
Poiché le minacce legate al cloud sono in cima alla lista delle preoccupazioni in materia di sicurezza informatica per i dirigenti di alto livello del Regno Unito e il 90% di essi afferma di aver subito una maggiore esposizione ai rischi informatici a causa della crescente digitalizzazione negli ultimi due anni⁶, i clienti dovrebbero sviluppare e mantenere costantemente una strategia olistica di protezione dei dati per garantire che i propri dati siano al sicuro, anche quando si affidano agli strumenti nativi del fornitore di servizi cloud. Un approccio olistico implica la comprensione della portata complessiva dei requisiti di sicurezza dei dati su più cloud e l’implementazione di controlli tecnici, operativi e fisici adeguati.
Uno dei motivi principali alla base di questo tipo di strategia è quello di identificare e affrontare eventuali rischi o vulnerabilità che potrebbero insorgere a causa del crescente utilizzo dei servizi cloud. Sebbene i fornitori di servizi cloud possano disporre di solide misure di sicurezza, solo il 52% dei CISO è sicuro di poter applicare pienamente una politica di sicurezza coerente su tutte le applicazioni nel cloud⁷; ciò significa che eventuali misure di sicurezza aggiuntive adottate dalle aziende possono fornire ulteriori livelli di protezione contro attacchi dannosi, accessi non autorizzati, fughe di dati e altre minacce informatiche.
Oltre a contribuire a proteggere i dati sensibili da potenziali minacce, una strategia olistica di protezione dei dati può anche aiutare le aziende a rispettare le varie normative di settore, come l’HIPAA o il GDPR. Grazie all’adozione di un adeguato piano di protezione dei dati, le aziende possono garantire in modo più efficace il rispetto di tutti gli standard di conformità pertinenti, continuando al contempo a sfruttare tutti i vantaggi derivanti dall’utilizzo dei servizi basati sul cloud.
La crittografia e il backup sono aspetti fondamentali che i clienti devono tenere presenti per garantire la protezione dei dati. A tal fine, i clienti dovrebbero anche valutare la possibilità di investire in fornitori terzi come Commvault, che offrono ulteriori livelli di sicurezza per i loro ambienti cloud a integrazione degli strumenti nativi, garantendo così l’adempimento dei propri obblighi e la protezione efficace dei dati.
Microsoft ribadisce questa affermazione nel proprio Contratto di servizio, precisando che «tutti i servizi online sono soggetti a occasionali interruzioni e malfunzionamenti, e Microsoft non è responsabile per eventuali interruzioni o perdite che l’utente possa subire di conseguenza» e «si raccomanda di eseguire regolarmente il backup dei propri contenuti e dati archiviati sui Servizi o tramite app e servizi di terze parti».
Commvault va oltre il semplice backup, fornendo una piattaforma di protezione dei dati semplice e unificata che copre tutti i dati dei clienti, indipendentemente dal fatto che i carichi di lavoro legacy o moderni risiedano in locale, nel cloud o siano distribuiti in un ambiente ibrido. La nostra conoscenza delle opzioni cloud e le profonde integrazioni con un’ampia gamma di fornitori di servizi cloud offrono le possibilità di integrazione e automazione necessarie per soddisfare le vostre esigenze specifiche in materia di gestione e protezione dei dati.
Infine, le organizzazioni clienti devono avere una chiara titolarità sui propri dati, in modo che tutte le persone coinvolte sappiano chi è responsabile di quale tipo di informazione e come questa debba essere gestita in modo sicuro durante l’intero ciclo di vita. Ciò comporta l’identificazione di chi dispone dei diritti di accesso a specifici insiemi di dati, nonché dei casi in cui tali diritti debbano essere revocati (ad esempio, quando un dipendente lascia l’organizzazione).
Adottando una strategia olistica di protezione dei dati, integrata con gli strumenti nativi del proprio fornitore, i clienti possono proteggere meglio le proprie informazioni dalle minacce esterne, garantendo al contempo che le loro operazioni soddisfino i requisiti normativi previsti.
Le aziende devono dedicare tempo all’elaborazione di tali strategie per poter sfruttare appieno e in tutta sicurezza i vantaggi offerti dal cloud computing, senza esporsi al rischio di costose violazioni o sanzioni dovute a problemi di non conformità che potrebbero verificarsi in futuro.
Considerazioni finali sulle strategie di protezione dei dati nel cloud
Con l’aumento degli attacchi informatici e quasi la metà di tutte le violazioni dei dati che si verificano nel cloud⁸, le organizzazioni devono adottare misure adeguate per proteggere i propri dati e il proprio ambiente. Il modello di responsabilità condivisa è una strategia fondamentale per la sicurezza del cloud che pone l’accento su un’efficace combinazione tra la responsabilità del cliente nello sviluppo di piani di difesa proattivi e l’utilizzo di soluzioni di terze parti per garantire ulteriori livelli di protezione durante l’utilizzo dei servizi cloud. Per implementare con successo questo approccio, i clienti devono comprendere come le responsabilità differiscano a seconda dei vari fornitori, al fine di ridurre al minimo i potenziali rischi sfruttando al contempo appieno i servizi offerti da queste piattaforme.
Per saperne di più su come proteggiamo i tuoi ambienti cloud, visita le nostre pagine dedicate alla trasformazione digitale e alle soluzioni SaaS. Puoi inoltre scoprire ulteriori dettagli sulla nostra ultima versione nella pagina “What's New“.
Riferimenti
1. Indagine IDC, commissionata da Ermetic. – 3. Gartner IT Symposium/Xpo 2021 – 4. CSA: “Understanding Cloud Data Security and Priorities 2022” – 5. Studio globale sulla sicurezza del cloud 2021 di Thales – 6. PWC “Cyber Security Outlook 2023” – 7. Indagine CISO 2022 di BlueFort Security – Help Net Security – 8. “Il costo di una violazione dei dati 2021” di IBM e Ponemon Institute
