Cloud Security: come garantire la sicurezza dei propri sistemi

La Cloud Security è un concetto che sta acquistando sempre più importanza all’interno della Digital Transformation.

Il Cloud è infatti una risorsa a cui oggi si affida la maggioranza delle aziende, contando su una sicurezza e una comodità che i servizi sull’hardware non possono dare.
I rischi però aumentano e senza un buon piano di sicurezza diventa difficile lavorare con serenità.

Vediamo tutti i dettagli in questo articolo.

Cloud Security: una definizione

La Cloud Security è una componente importante della Cyber Security, necessaria per proteggere e conservare i dati, difendere le applicazioni e tutelare le infrastrutture.

L’obiettivo è creare un ecosistema informatico che permetta ai dipendenti di lavorare con serenità accedendo alla rete in sicurezza da ogni parte del mondo e da qualsiasi dispositivo.

Il concetto di Cloud Security, infatti, nasce dalla diffusione che ha oggi il Cloud Computing, un sistema che eroga dei servizi attraverso la rete da un fornitore a un cliente finale.

Si parte da risorse preesistenti, configurabili e disponibili in remoto e si forniscono sotto forma di architettura distribuita.

Ed è qui che entra in gioco la Cloud Security, con lo scopo di proteggere questi servizi sul Cloud, mettendo in sicurezza i provider e indirizzando gli utenti verso un corretto utilizzo della rete.

Perché le aziende scelgono il Cloud Computing?

Il Cloud Computing sta sostituendo l’architettura IT tradizionale per i grossi vantaggi che può portare a un’azienda.

Analizziamo i principali:

• Accesso e autenticazione: il Cloud Computing non si limita un determinato perimetro di accesso, ma garantisce un ambiente dinamico e connesso.
  
• Infrastrutture: con il Cloud le infrastrutture sono scalabili e trattano i dati tramite software che rispondono alle variabili d’ambiente e processano le informazioni anche quando sono in transito o a riposo.
  
• Tutela dei dati: rispetto a un hardware proprietario, i dati e le informazioni sono molto più protetti. In caso di danni al server, incendio o altri imprevisti, infatti, nulla andrebbe perduto e non c’è il rischio di compromettere la Business Continuity dell’azienda.

L’importanza della Cloud Security

La Cloud Security ha oggi un ruolo molto importante nella maggior parte delle aziende, consapevoli dei rischi a cui è esposta oggi la rete.

Gli attacchi informatici, infatti, sono in continua crescita e per numerosissime attività rappresentano una minaccia reale che più volte hanno dovuto affrontare.
A ciò si aggiunge che sfruttando il Cloud la potenziale superficie di attacco aumenta, rendendo un’azienda più esposta e vulnerabile.

Ecco perché bisogna correre ai ripari e capire che una risorsa tanto valida e utile come il Cloud, ha bisogno di essere protetta e difesa con i giusti accorgimenti.

Cosa differenzia la Cloud Security?

La Cloud Security ha l’obiettivo di proteggere i servizi sulla rete, adottando varie tecniche e abitudini che la differenziano dai classici modelli IT.

Ecco quali sono:

• Archiviazione dei dati: i vecchi modelli IT archiviano i dati sull’hardware fisico, con sistemi costosi e poco flessibili. Le infrastrutture cloud-based, invece, permettono di ridurre di costi di sviluppo e mantenimento del sistema, limitando anche le mansioni degli utenti.
  
• Velocità di adeguamento: le infrastrutture cloud-based sono altamente scalabili e modulari, adattando i sistemi in modo uniforme alle modifiche organizzative.
  
• Interfaccia di sistema per gli utenti finali: i permessi di accesso devono essere monitorati a partire dalla rete fino agli utenti finali. I sistemi Cloud, infatti, si interfacciano anche con altri sistemi e servizi e sono esposti a diverse vulnerabilità, per questo va tenuto sotto controllo ogni comportamento di accesso.
  
• Prossimità di altri sistemi e dati in rete: con il Cloud si crea un ecosistema che mette in comunicazione i provider e gli utenti. In questo modo un’unica falla o punto debole può compromettere tutta la rete, esponendosi anche alle minacce provenienti dagli utenti finali.

Per costruire un piano di Cloud Security bisogna quindi mettere in sicurezza l’intero sistema e assicurarsi che gli utenti mantengano un comportamento sicuro e adeguato dal punto di vista tecnico ed etico.

Come proteggere il Cloud: sistemi e tecnologie

Con un corretto piano di Cloud Security si possono recuperare i dati in caso di perdita, proteggere le reti dal furto di dati, ridurre la possibilità di errore umano e limitare l’impatto di qualsiasi compromissione di dati o sistemi.

Bisogna ricorrere a strumenti e tecnologie che implementino delle barriere fra l’accesso e la visibilità dei dati sensibili.
Un esempio è la crittografia, che protegge i dati rendendoli leggibili solo a chi ha la chiave crittografica corrispondente. Anche le reti private virtuali – o VPN – sono un ottimo espediente per tutelare le reti Cloud.

Gestendo l’identità e gli accessi, invece, si monitorano i permessi concessi agli account degli utenti, limitando la compromissione di dati e sistemi sensibili da parte di esterni, sia legittimi che malintenzionati. Per farlo si può ricorrere all’autenticazione multi fattore e al password management.

Per prevenire, rilevare e mitigare le minacce, c’è la governance, fondamentale per tracciare ogni pericolo e classificarlo in base al livello di rischio.
In caso di perdita dei dati si ricorre a delle tecniche di disaster recovery, seguendo dei piani di Business Continuity e Data Retention che garantiscano il regolare svolgimento delle operazioni e dell’attività lavorativa, sfruttando per esempio metodi di backup e formando i dipendenti.

Inoltre è importante adeguarsi alle norme legislative vigenti, garantendo la massima privacy e impegnandosi a proteggere i dati in rispetto del GDPR.
Un approccio comune è l’uso di data masking, che oscura l’identità dei dati con metodi crittografici.

Infine giocano un ruolo chiave i dipendenti, che devono attenersi alle policy aziendali e seguire dei corsi di formazione che li educhi a tenere un comportamento sicuro online.
Per prevenire ogni involontario pericolo e limitare il più possibile l’errore umano.

Gli strumenti della Cloud Security

Per proteggere i servizi in Cloud e i provider, si usano tool specifici chiamati Cloud access security broker, o CASB.

Questi strumenti valutano le app Cloud in uso e le gestiscono seguendo delle policy di sicurezza che tutelino le informazioni sensibili e rilevino anomalie e comportamenti insoliti.

Nello specifico con un CASB si possono impostare funzionalità di:

• autenticazione e Single Sign-On
• mappatura delle credenziali
• crittografia
• rilevamento dei malware
• profilazione dei dispositivi

Per gli sviluppatori c’è inoltre Google Cloud security scanner, uno strumento utile per scannerizzare applicazioni web e individuare le vulnerabilità all’interno del codice, riducendo così i falsi positivi.

Le sfide della Cloud Security

Il problema principale del Cloud è che non ci sono perimetri ben definiti e mantenere la sicurezza è impegnativo se si pensa che i Cloud moderni prevedono metodi come l’Integrazione Continua e la Distribuzione Continua.

Per la Cloud Security, quindi, le sfide sono:

1. Maggiore superficie di attacco: il Cloud ha un’area potenzialmente infinita ed è facile per un hacker introdursi sfruttando porte di ingresso Cloud poco protette. Attacchi e minacce come malware e account takeover sono pericoli concreti che possono ostacolare la Business Continuity e violare dati e informazioni sensibili.
   
2. Mancanza di visibilità e monitoraggio: nel modello IaaS, così come nei modelli Cloud PaaS e SaaS, i fornitori di servizi Cloud hanno il pieno controllo del livello dell’infrastruttura, escludendo del tutto i clienti. I clienti, quindi, non sono in grado di identificare e quantificare efficacemente le loro risorse Cloud o visualizzare i loro ambienti Cloud.
   
3. Carichi di lavoro in continua evoluzione: le risorse Cloud vengono implementate e disattivate in modo dinamico, su larga scala e rapidamente. Di conseguenza gli strumenti di sicurezza tradizionali non riescono ad applicare le politiche di protezione in un ambiente così flessibile e in continua evoluzione.
   
4. DevOps, DevSecOps e automazione: le organizzazioni che hanno adottato la cultura CI/CD DevOps altamente automatizzata devono garantire controlli di sicurezza identificati e incorporati nel codice nelle prime fasi del ciclo di sviluppo. Per questo eventuali modifiche relative alla sicurezza implementate dopo che un carico di lavoro è stato distribuito, possono minare la posizione di sicurezza dell’organizzazione e allungare i tempi di distribuzione finale.
   
5. Gestione e controllo dei privilegi: spesso i ruoli degli utenti Cloud sono configurati in modo molto approssimativo, garantendo privilegi che esulano da quanto previsto o richiesto. Un esempio è l’autorizzazione a sovrascrivere o eliminare un database data a utenti non addestrati o a utenti che non hanno tali necessità aziendali. A livello di applicazione i privilegi configurati in modo errato espongono le sessioni a rischi per la sicurezza.
   
6. Ambienti complessi: gestire la sicurezza in modo coerente negli ambienti ibridi e multicloud dalle aziende, richiede metodi e strumenti che funzionino per provider di Cloud pubblico, provider di Cloud privato e implementazioni in sede. In più bisogna garantire protezione anche ai perimetri delle filiali.
   
7. Conformità e governance del Cloud: è responsabilità dei clienti garantire che il carico di lavoro e i processi di dati siano conformi. Data la scarsa visibilità e le dinamiche dell’ambiente Cloud, il processo di audit di conformità diventa quasi impossibile a meno che non vengano utilizzati strumenti per ottenere controlli di conformità continui e emettere avvisi in tempo reale su errori di configurazione.