Che cos’è il modello di responsabilità condivisa di AWS?

I fornitori di servizi cloud come AWSgestiscono una parte significativa della sicurezza delle infrastrutture, ma ciò non significa che i clienti siano esenti da responsabilità. Il modello di responsabilità condivisa di Amazon definisce esattamente dove finisce la responsabilità del fornitore e dove inizia quella del cliente.

Questo articolo illustra i principali elementi del modello di responsabilità condivisa e offre una panoramica pratica di come la responsabilità si distribuisca a seconda del tipo di servizio AWS utilizzato.

Nota: molti di questi concetti si applicano anche ad altri fornitori di servizi cloud.

Il modello di responsabilità condivisa di Amazon suddivide le responsabilità in due categorie: la sicurezza del cloud e la sicurezza all’interno del cloud. AWS è responsabile dell’infrastruttura fisica, inclusi i data center, i server e la rete. I clienti gestiscono ciò che viene eseguito all’interno del cloud, inclusi i dati, i controlli di accesso, le impostazioni delle applicazioni e la crittografia.

Con i servizi IaaS (Infrastructure-as-a-Service) come Amazon EC2, i clienti gestiscono il sistema operativo, le impostazioni del firewall e l’applicazione delle patch software. Al contrario, con i servizi serverless o gestiti come AWS Lambda o Amazon S3, AWS si occupa della piattaforma e dell’ambiente di esecuzione, mentre i clienti rimangono responsabili delle autorizzazioni di accesso e dell’integrità dei dati.

Per adempiere alla propria parte del modello, i clienti devono disporre di processi chiari per la gestione delle configurazioni, l’applicazione delle patch e la protezione delle identità. AWS può fornire l’infrastruttura, ma i clienti sono responsabili della sicurezza di ciò che realizzano su di essa.

Un’errata comprensione del modello di responsabilità condivisa può portare a lacune nella sicurezza di AWS. Quando i team presumono che AWS si occupi di più di quanto effettivamente faccia, attività chiave come il controllo degli accessi o la crittografia dei dati potrebbero essere tralasciate, aumentando il rischio di esposizione o di problemi di conformità.

L’assegnazione di ruoli chiari contribuisce a ridurre la confusione e le omissioni. I team di sicurezza devono definire chi si occupa di cosa a livello di rete, configurazione e applicazioni. Ciò include decidere chi imposta le politiche del firewall, chi gestisce l’applicazione delle patch e chi monitora l’attività del sistema.

1. Elencare i servizi AWS in uso: identificare quali servizi vengono utilizzati e classificarli per tipo (IaaS, PaaS, SaaS), poiché le responsabilità variano a seconda del modello.

2. Definire chiaramente le responsabilità: utilizzare la documentazione di AWS per distinguere ciò che è di competenza di AWS da ciò di cui devono occuparsi i vostri team.

3. Assegnare la responsabilità in base ai controlli: documentare quale team o persona sia responsabile di ciascuna attività, in particolare per quanto riguarda i controlli gestiti dal cliente, come la crittografia o le politiche di accesso.

4. Automatizzare i controlli di configurazione: utilizzare strumenti come AWS Config per monitorare la conformità agli standard di sicurezza interni.

5. Verificare regolarmente le autorizzazioni: rivedere le politiche IAM per limitare l’accesso in base ai ruoli lavorativi e rimuovere le credenziali inutilizzate.

6. Progettare tenendo conto degli scenari peggiori: adottare principi di immutabilità, indelebilità e isolamento fisico (air gap), in modo che, qualora si verifichi un evento catastrofico o si verifichi un’intrusione da parte di malintenzionati, il danno sia ridotto al minimo e sia sempre disponibile un punto di ripristino.

Commvault garantisce questo livello di isolamento proattivo e immutabilità grazie a:

• Copie dei dati facilmente configurabili in account isolati con Commvault AirGap.
• Backup con isolamento fisico e tra account diversi di default conCommvault® Cloud RewindeClumio.

7. Verifica dei processi di risposta: eseguire simulazioni per verificare che le azioni di rilevamento e Recovery funzionino come previsto e siano assegnate ai team corretti.

Commvault può aiutare ad automatizzare i test e la convalida dei processi di ripristino grazie alla sua soluzione Cleanroom Recovery, prima nel settore, oppure attraverso le funzionalità di ripristino interregionale e tra account disponibili in Cloud Rewind e Clumio.

8. Aggiornare regolarmente la documentazione: man mano che l’utilizzo del servizio cambia, rivedere le mappature del modello di responsabilità condivisa in modo che rispecchino l’architettura e i controlli attuali.

Questa tabella evidenzia come la responsabilità si sposti da un unico responsabile a un modello condiviso. Un’errata comprensione di tali cambiamenti può portare a lacune nella protezione, specialmente in ambiti quali il controllo degli accessi e la registrazione degli audit. Sapere quale team è responsabile di quale controllo aiuta a ridurre tale rischio.

• Gestione semplificata: Commvault si integra ampiamente con i servizi AWS, oltre che con altre tecnologie on-premise e cloud, per automatizzare la protezione basata su policy da un’unica interfaccia.
• Maggiore sicurezza: Commvault offre una protezione più efficace contro il ransomware e altre minacce informatiche grazie alla Threat Scan basata sull’intelligenza artificiale, oltre a fornire copie di backup isolate fisicamente, immutabili e indelebili per una migliore recuperabilità.
• TCO ridotto: oltre ai vantaggi in termini di costi derivanti dalla mitigazione dei rischi e dalla riduzione dell’impatto di potenziali minacce, Commvault aiuta le organizzazioni a controllare i costi legati alla protezione dei dati nel cloud ottimizzando le modalità di raccolta e archiviazione dei dati. Con Commvault, le organizzazioni possono conservare un numero inferiore di snapshot completi e archiviare i dati deduplicati e compressi senza compromettere gli obiettivi di punto di ripristino (RPO), ottenendo così significativi risparmi sui costi.

Il Gruppo Sony, colosso mondiale dell’intrattenimento e dell’elettronica, ha dovuto affrontare sfide significative nell’unificare la resilienza informatica nel proprio complesso ambiente multi-cloud. Con ampie implementazioni su AWS e Azure, il team dei servizi per i data center aveva bisogno di una soluzione in grado di collegare i carichi di lavoro on-premise, cloud e SaaS, soddisfacendo al contempo rigorosi requisiti di sicurezza.

“La nostra strategia consiste nel collegarci a livello globale dai nostri data center alla nostra soluzione cloud”, spiega Cassandra Cinar, senior director dei Data Center Services di Sony. «Per raggiungere questo obiettivo, abbiamo bisogno di una piattaforma unificata per la Recovery che copra i carichi di lavoro su cloud, on-premise e software-as-a-service».
I requisiti di sicurezza di Sony erano particolarmente esigenti. L’azienda aveva bisogno di una soluzione in grado di proteggere i dati di praticamente tutti gli utenti AWS a livello globale, supportando al contempo il suo variegato ambiente multi-architettura. Inoltre, la soluzione doveva aiutare Sony a conformarsi ai sistemi finanziari interni, nonché ai requisiti SOC e GDPR.

Dopo aver valutato diverse opzioni, Sony ha scelto Commvault Cloud per le sue funzionalità complete di resilienza informatica. L’implementazione copre ora 5.000 endpoint distribuiti su più data center, regioni e provider cloud, compresa la sua ampia presenza su AWS.

I risultati sono stati notevoli. Sony ha ridotto i costi relativi all’hardware, ai supporti di archiviazione e al backup di circa l’80% grazie alla crittografia, alla compressione e al passaggio all’archiviazione su disco e nel cloud su AWS e Azure. L’azienda ha inoltre migliorato i propri obiettivi di punto di ripristino (RPO) e ha acquisito la capacità di riconoscere le minacce più tempestivamente, ripristinare più rapidamente e ridurre i tempi di inattività.

«Le differenze chiave tra le soluzioni di sicurezza risiedono nelle loro capacità di implementazione e Recovery», ha affermato Cinar. «L’infrastruttura robusta e completa di Commvault soddisfa tutte le nostre esigenze in materia di Recovery, accordi sul livello di servizio e funzionalità cruciali come il rilevamento delle minacce e altre caratteristiche di sicurezza».

L’esperienza di Sony dimostra come le organizzazioni possano gestire con successo il modello di responsabilità condivisa di AWS implementando un approccio unificato alla protezione e alla sicurezza dei dati in ambienti ibridi. La loro partnership con Commvault e Accenture ha permesso loro di stabilire politiche di protezione coerenti nell’intera infrastruttura AWS, mantenendo al contempo la conformità ai requisiti sia interni che esterni.

Commvault aiuta i clienti ad adempiere alle proprie responsabilità nell’ambito del modello di responsabilità condivisa di AWS, fornendo strumenti di livello aziendale perprotezione dei dati, recupero ela conformità. La sua piattaforma supporta ambienti ibridi e multi-cloud, consentendo alle organizzazioni di gestire i propri dati in modo coerente su AWS e su altre infrastrutture.

Commvault estende la responsabilità di garantire la sicurezza e la protezione dei dati nel cloud ai carichi di lavoro dei data center mission-critical, grazie a backup immutabili e isolati fisicamente (air-gapped) archiviati all’interno di un tenant isolato su Amazon S3.

Ciò consente alle organizzazioni di garantire questo ulteriore livello di recuperabilità nell’ecosistema più ampio possibile, che comprende infrastrutture e applicazioni quali SAP, Oracle, Microsoft SQL Server, Active Directory, Epic Systems, VMware e ServiceNow, tra le altre. Commvault protegge questi carichi di lavoro, eseguendone il backup su AWS e fornendo ulteriori livelli di sicurezza e resilienza in linea con il modello di responsabilità condivisa.

Grazie all’automazione integrata, Commvault semplifica le operazioni, riducendo i passaggi manuali nel processo di Backup and Recovery e consentendo ai team di reagire più rapidamente e con un minor numero di errori. La visibilità centralizzata su tutti i carichi di lavoro offre ai team IT e di sicurezza la possibilità di monitorare l’attività dei dati, verificare i controlli e garantire la conformità alle normative di settore.

Commvault consente inoltre alle organizzazioni di garantire Recovery più rapidi a costi inferiori per i carichi di lavoro nativi emergenti, come Amazon S3 e Amazon DynamoDB, grazie alla soluzione Clumio, ottimizzando la protezione e rendendo questa protezione fondamentale più accessibile. Le organizzazioni che utilizzano Clumio possono adempiere alla propria responsabilità condivisa perprotezione dei dati all’interno dei servizi nativi di AWScon una soluzione semplice e chiavi in mano, ottimizzata in termini di costi ed efficienza.

Comprendere il modello di responsabilità condivisa di AWS è fondamentale per proteggere i propri dati e le proprie applicazioni nel cloud. Sapendo esattamente quali controlli di sicurezza rientrano nella propria responsabilità, è possibile mettere in atto difese più solide e reagire più rapidamente alle minacce.
Commvault può aiutare le organizzazioni a colmare le lacune di sicurezza e a rafforzare la loro strategia di protezione dei dati su AWS; lasciateci quindi illustrarvi come la nostra piattaforma possa supportare i vostri obiettivi di sicurezza nel cloud attraversorichiesta di una demo.