Migliori pratiche per la sicurezza nel Cloud

Sembra che quasi ogni organizzazione oggi desideri una presenza digitale nel cloud. Questa tendenza verso la migrazione al cloud continua a guadagnare slancio, spinta dai suoi vantaggi allettanti, tra cui scalabilità, flessibilità ed efficienza dei costi. Tuttavia, la natura della sicurezza del cloud differisce significativamente dalla sicurezza tradizionale on-prem, costringendo i leader IT e della cybersecurity a ripensare le loro strategie di sicurezza per garantire di avere il giusto mix di strumenti, controlli, personale e strategie per stabilire una postura di sicurezza del cloud completa.

Perché la sicurezza del cloud è importante?

Le organizzazioni si affidano sempre più agli ambienti cloud che, a loro volta, le espongono a nuovi tipi di minacce. È fondamentale comprendere questi rischi, data la natura distintiva del cloud computing rispetto alle configurazioni IT tradizionali. La scalabilità e l'accessibilità del cloud, sebbene vantaggiose, aprono anche le porte ai criminali informatici. La chiave di questo sforzo è comprendere il modello di responsabilità condivisa della sicurezza cloud in cui il fornitore di cloud protegge l'infrastruttura, ma l'organizzazione è responsabile della protezione dei suoi dati all'interno del cloud. Ciò richiede un approccio strategico alla gestione delle identità e degli accessi, alla crittografia dei dati, al rilevamento delle minacce e alla risposta agli incidenti, personalizzato per l'ambiente cloud. A causa della separazione virtuale tra le tue operazioni e l'infrastruttura cloud, è cruciale implementare un monitoraggio continuo e condurre regolari valutazioni della sicurezza. Questo approccio proattivo aiuta a identificare e mitigare tempestivamente i rischi e a prevenire violazioni dei dati.

Modelli di servizi cloud

Le migliori pratiche per la sicurezza dei dati nel cloud coprono una gamma di processi che includono il controllo su persone, applicazioni e infrastrutture. Le migliori pratiche per la sicurezza nel cloud importanti per la tua strategia di sicurezza dipendono in parte dal modello di servizio cloud che utilizzi. I servizi di cloud computing sono raggruppati in tre tipi elencati qui con alcuni esempi:

• Infrastruttura come servizio (IaaS) — Azure, AWS, centri dati virtuali
• Piattaforma come servizio (PaaS) — Redhat Openshift, Oracle Cloud
• Software come servizio (SaaS) — Microsoft 365, Salesforce

Ogni modello soddisfa un diverso insieme di requisiti aziendali e richiede diverse misure di sicurezza.

IaaS

Nell'ambito del framework Infrastructure as a Service (IaaS), il cliente assume i doveri dell'amministratore di sistema. Questa posizione gli consente di allocare storage accessibile in rete, supervisionare le capacità di elaborazione, distribuire e gestire applicazioni insieme ai sistemi operativi. Sebbene gli amministratori IaaS abbiano una certa discrezione nella scelta dei componenti di rete come il firewall dell'host, la gestione diretta o il controllo dell'infrastruttura cloud sottostante rimangono al di fuori della loro giurisdizione.

Per IaaS, le migliori pratiche di sicurezza includono, ma non si limitano a:

• Governance dei dati
• Protezione client e endpoint
• Gestione dell'identità e degli accessi
• Controlli a livello di applicazione
• Controlli di rete
• Test di sicurezza

PaaS

Nel modello PaaS, si sfrutta la piattaforma e le risorse del fornitore cloud per lo sviluppo, il testing, il dispiegamento e la gestione delle applicazioni. A differenza del modello IaaS, non concede la capacità di gestire o controllare l'infrastruttura cloud sottostante, come reti, server, sistemi operativi o archiviazione. Tuttavia, è possibile dispiegare le proprie applicazioni sull'infrastruttura PaaS utilizzando i linguaggi di programmazione e gli strumenti che il fornitore PaaS supporta.

Nel modello PaaS, i tuoi compiti di sicurezza si estendono a, ma non sono limitati a:

• Governance dei dati
• Protezione client e Endpoint
• Gestione dell'identità e degli accessi
• Controlli a livello di applicazione
• Test di sicurezza

SaaS

Il Software as a Service (SaaS) fornisce applicazioni tramite internet, consentendo agli utenti di accedere e utilizzare il software attraverso browser web su vari dispositivi. Questo modello di servizio permette agli utenti di svolgere una gamma di compiti, dall'analisi dei dati a progetti collaborativi, senza la necessità di installare o mantenere il software localmente. Sebbene gli utenti possano personalizzare alcuni aspetti delle impostazioni dell'applicazione per soddisfare le esigenze individuali o di squadra, il controllo dell'intera infrastruttura basata sul cloud rimane al fornitore di SaaS. Questa configurazione alleggerisce il carico IT per gli utenti spostando le responsabilità di gestione e manutenzione al fornitore.

Per il SaaS, le tue responsabilità di sicurezza includono, ma non si limitano a:

• Governance dei dati
• Protezione di client ed Endpoint
• Gestione dell'identità e degli accessi

Modelli di distribuzione cloud

Il regno del cloud computing presenta una varietà di modelli, ognuno con vantaggi unici progettati per soddisfare requisiti specifici e obiettivi strategici delle organizzazioni. Che si tratti dell'ampio raggio d'azione e flessibilità dei cloud pubblici o delle misure di sicurezza potenziate dei cloud privati, il modello di distribuzione delinea l'interazione tra il fornitore di cloud e il consumatore. Il modo in cui utilizzi i vari servizi di cloud computing è influenzato dalle caratteristiche specifiche della tua azienda e dalla natura dei dati che possiedi. I principali modelli di distribuzione del cloud sono i seguenti:

• Private Cloud – Predisposto per l'uso da parte di una singola organizzazione, offre una sicurezza e un controllo migliorati. Ospitato in loco o da un fornitore terzo, fornisce la flessibilità e la scalabilità della tecnologia cloud, mantenendo un accesso rigoroso e la privacy dei dati, personalizzati per soddisfare le esigenze aziendali specifiche.
• Cloud Pubblico – Progettato per l'uso multi-tenant, i suoi servizi e l'infrastruttura sono ospitati off-site da un provider di cloud, consentendo l'accesso condiviso tra più organizzazioni (inquilini). Offre scalabilità, affidabilità ed economicità, con risorse disponibili su richiesta. Ideale per un'ampia gamma di applicazioni, è comunemente utilizzato per la posta elettronica basata sul web, applicazioni d'ufficio online e per lo storage.
• Cloud ibrido — Combina infrastrutture di cloud pubblico e privato per consentire la condivisione di dati e applicazioni tra di loro. Questo modello offre alle imprese flessibilità, scalabilità e sicurezza ottimizzata mantenendo i dati sensibili on-premises e sfruttando il cloud pubblico per risorse scalabili e innovazione, facilitando un approccio equilibrato al cloud computing.

Passaggi per implementare le migliori pratiche

Intraprendere il percorso per implementare le migliori pratiche e tecnologie all'interno di un'organizzazione è una mossa strategica per migliorare l'efficienza, la sicurezza e le prestazioni generali. Di seguito delineeremo i passaggi necessari per adottare e integrare efficacemente queste pratiche. Seguendo questi passaggi, potrai posizionare la tua organizzazione per raggiungere i suoi obiettivi con maggiore successo e mantenere un vantaggio competitivo nel tuo settore.

Gestione dei rischi nel Cloud

Prima di adottare un servizio cloud, i consumatori devono valutare i potenziali rischi legati all'adozione di soluzioni cloud per specifici sistemi informativi e formulare strategie per mitigare tali rischi. Una valutazione del rischio approfondita dovrebbe identificare:

• Componenti essenziali per la sicurezza del tuo ambiente cloud
• Controlli che devono essere implementati internamente
• Controlli che rientrano nella giurisdizione del fornitore di servizi cloud

Migliori pratiche di sicurezza cloud a livello di infrastruttura

L'intera infrastruttura hardware dovrebbe essere controllata, protetta e rafforzata. Questo inizia con l'audit della configurazione per assicurarsi che l'ambiente cloud sia configurato secondo le politiche della tua organizzazione o gli standard di conformità pertinenti. Implementa audit regolari per controllare i segni di cattiva configurazione. Impostazioni di configurazione inappropriate possono metterti a serio rischio di perdita di dati. Per garantire che i controlli della configurazione siano eseguiti regolarmente, automatizzali con una soluzione di monitoraggio e indaga e risolvi prontamente qualsiasi cambiamento sospetto nel tuo ambiente cloud.

Dovresti anche intraprendere i seguenti passi in relazione alla prevenzione, rilevazione e risposta agli incidenti:

• Difesa da attacchi esterni: Implementare una protezione avanzata contro i malware su piattaforme IaaS e valutare le vulnerabilità del perimetro per proteggersi dagli attacchi DDoS mirati alle interfacce del cloud pubblico.
• Rilevamento e prevenzione delle intrusioni: Per IaaS, distribuire sistemi di rilevamento delle intrusioni a livello utente, di rete e di database. Nei modelli PaaS e SaaS, questa responsabilità passa al fornitore.
• Monitoraggio del traffico: Monitorare i picchi di traffico, poiché questi potrebbero indicare potenziali incidenti di sicurezza.

Migliori pratiche di sicurezza cloud a livello applicativo

L'aspetto più importante della sicurezza a livello di applicazione è garantire che le vulnerabilità all'interno dell'applicazione stessa siano identificate e risolte. Ciò include l'applicazione di controlli di autenticazione e autorizzazione forti per gestire l'accesso, la crittografia dei dati a riposo e in transito per prevenire accessi non autorizzati e l'aggiornamento e la patching regolari dell'applicazione per affrontare le falle di sicurezza. Alcune aree critiche su cui concentrarsi includono le seguenti:

Gestione dei permessi

• Implementare l'Accesso a Privilegio Minimo - Assegnare solo i permessi necessari per ogni utente per svolgere le proprie funzioni lavorative.
• Revisioni periodiche delle autorizzazioni e revoca dei diritti - Valutare e adeguare periodicamente i permessi, rimuovendo quelli che non sono più necessari.
• Monitoraggio delle modifiche non autorizzate - Mantieni un'attenta sorveglianza su eventuali modifiche non autorizzate ai membri dei gruppi, specialmente quelle che modificano i privilegi amministrativi, così come i permessi assegnati direttamente agli utenti aggirando l'appartenenza ai gruppi.

Autenticazione

• Rendere obbligatoria l'autenticazione a più fattori (MFA) - L'MFA aumenta notevolmente la sicurezza richiedendo più forme di verifica, rendendo molto più difficile l'accesso non autorizzato per i potenziali attaccanti.
• Monitorare le attività di accesso: - Indagare sui picchi di accessi non riusciti per identificare account potenzialmente compromessi, impostando allarmi per tentativi di accesso da più endpoint, numerosi accessi non riusciti da qualsiasi account in un breve lasso di tempo e un alto numero di fallimenti di accesso in un periodo specificato.

Monitoraggio delle attività

Utilizza l'User Behavioral Analytics (UBA) per identificare attività insolite come cambiamenti nel comportamento o nei modelli di accesso di un utente che potrebbero rappresentare minacce alla sicurezza o traffico malevolo. Altre suggerimenti includono quanto segue:

• Monitorare costantemente e documentare le attività degli utenti per stabilire basi di comportamento normali.
• Individua gli utenti che mostrano comportamenti che si discostano dal loro standard individuale o di gruppo.
• Fai attenzione alla condivisione di file non autorizzata o esterna.

Migliori pratiche di sicurezza cloud a livello di dati

I dati devono essere protetti indipendentemente dalla loro posizione e ciò include il cloud. Implementando le seguenti migliori pratiche, le organizzazioni possono garantire la riservatezza, l'integrità e la disponibilità dei loro dati, rafforzando così la loro Data Security Posture Management nel cloud e proteggendo i loro beni più preziosi.

Scoperta e classificazione dei dati

• Identifica e classifica i tuoi dati — La scoperta e classificazione dei dati è utilizzata per valutare e categorizzare i tuoi dati in base alla loro importanza e sensibilità. Puoi poi utilizzare le informazioni ottenute per concentrare le tue strategie di protezione dei dati, stabilendo controlli e politiche di sicurezza adeguati. Automatizzare questo processo può aiutare a raggiungere risultati consistenti e precisi.
• Definire una strategia per la Data Governance nel Cloud - Determinare quali dati risiederanno nel cloud e delineare la strategia di governance per proteggere tutti i dati sensibili. È fondamentale garantire la protezione dei dati sensibili all'interno del cloud. Alcune informazioni potrebbero richiedere una memorizzazione on-premises per aderire a rigorosi protocolli di sicurezza o requisiti di conformità.

Standard di Accesso ai Dati

• Implementare la gestione dell'accesso ai dati - Effettuare audit frequenti dei privilegi di accesso, in particolare per i dati più sensibili della propria organizzazione e rimuovere tutti i permessi non necessari. Applicare controlli di accesso appropriati in base al tipo di dati.
• Limitare la condivisione dei dati - Applicare regole per mitigare i rischi di esposizione pubblica accidentale o condivisione di dati non autorizzata con esterni.
• Monitoraggio dei download di file - Monitorare le attività di download insolite e vietare i download su dispositivi non sicuri. Richiedere la verifica della sicurezza del dispositivo prima di consentire i download. Utilizzare il monitoraggio automatizzato in tutto l'ambiente IT per tracciare gli utenti che scaricano, modificano o condividono dati basati sul cloud.

Protezione dei dati

• Rimedio automatico dei dati - Adottare un sistema in grado di trasferire automaticamente i dati a rischio in una zona di quarantena sicura per mitigare la vulnerabilità.
• Perfezionare le pratiche di cancellazione dei dati - Eliminare i dati ridondanti o obsoleti seguendo le raccomandazioni NIST e ISO. Le linee guida NIST e ISO raccomandano l'uso della cancellazione crittografica, una tecnica standard del settore che rende i dati illeggibili scartando le loro chiavi di crittografia. Le cancellazioni devono essere verificabili.
• Cifrare i dati in transito e inattivi - Dare priorità alla cifratura di tutti i dati prima di caricarli sul cloud. Mantenere un controllo rigoroso sulle chiavi di cifratura utilizzando pratiche di gestione delle chiavi complete per assicurarle adeguatamente.
• Sviluppare una solida strategia di recupero dati - Eseguire regolarmente il backup dei dati e stabilire una procedura di recupero testata approfonditamente per affrontare efficacemente la perdita di dati accidentale e intenzionale.

Migliori pratiche per la gestione sicura dei servizi cloud

La gestione delle relazioni aziendali mira a facilitare scambi efficienti tra il fornitore di servizi cloud e il consumatore, con un'enfasi primaria sul soddisfare i requisiti e le preoccupazioni di sicurezza. Un'area primaria di attenzione dovrebbe essere sui contratti e sugli accordi di livello di servizio (SLA). Il contratto funge da tua principale garanzia per la qualità del servizio e gli sforzi di rimedio. Esamina attentamente i termini e le condizioni dell'accordo per assicurarti che siano in linea con gli standard di sicurezza della tua organizzazione. Chiedi chiarimenti su qualsiasi punto che possa sembrare ambiguo, come ad esempio se ai clienti è permesso di verificare la conformità del fornitore.

Un aspetto critico del contratto è definire la responsabilità e la proprietà dei dati memorizzati nel cloud. La proprietà legale può essere ambigua e poco chiara. Prima di finalizzare un contratto, impegnati a negoziare qualsiasi termine che trovi inaccettabile. Se certi termini non possono essere modificati, valuta i rischi associati. Se accettabile, considera strategie come la crittografia o il monitoraggio per mitigare i rischi. Altrimenti, potrebbe essere necessario cercare un altro fornitore che soddisfi le tue specifiche esigenze.

Definire le Responsabilità Condivise

Stabilire una chiara comprensione delle responsabilità in materia di cybersecurity tra voi e il fornitore affrontando punti chiave come:

• L'entità della responsabilità del fornitore.
• Le politiche del fornitore per l'archiviazione e l'eliminazione dei dati.
• Le misure di sicurezza adottate per proteggere i tuoi dati.
• Le misure di audit e controllo implementate dal fornitore e quelle richieste da parte vostra.
• Strategie per garantire la riservatezza dei dati.

Garantire la conformità normativa

La scelta di un fornitore di servizi cloud non esonera la tua organizzazione dalla responsabilità della conformità normativa. Il peso rimane su di te per creare e mantenere applicazioni e servizi basati su cloud che siano continuamente conformi alle normative pertinenti.

Un fornitore di cloud affidabile aderisce a standard riconosciuti e si impegna per la trasparenza e la responsabilità. I fornitori che dimostrano questo impegno spesso possiedono certificazioni come SAS 70 Tipo II o ISO 27001. Un fornitore affidabile dovrebbe fornire un accesso completo alla documentazione e ai rapporti pertinenti alle valutazioni di conformità e acconsentire a verifiche indipendenti condotte in conformità con gli standard stabiliti. Il fornitore è responsabile del mantenimento delle certificazioni e dovrebbe notificare ai consumatori qualsiasi cambiamento di stato.

Sviluppare un piano di risposta agli incidenti e di recupero dai disastri

Creare un piano di risposta agli incidenti con il proprio fornitore di servizi cloud comporta la definizione di responsabilità di sicurezza condivise, l'istituzione di protocolli di comunicazione e l'identificazione di asset critici e rischi. Il piano dovrebbe delineare i servizi specifici che il fornitore cloud offrirà in risposta a un incidente. Personalizzare le procedure di risposta per affrontare potenziali incidenti, integrando strumenti specifici per il cloud per un rilevamento e una risposta migliorati. La formazione regolare e le simulazioni assicurano la preparazione, mentre le revisioni continue del piano si adattano all'evoluzione dell'ambiente cloud e del panorama delle minacce. Questo approccio collaborativo garantisce una risposta unificata ed efficace agli incidenti, proteggendo le operazioni e i dati nel cloud.

Navigare le sfumature della sicurezza del cloud è essenziale nel panorama tecnologico odierno. Per garantire la sicurezza e l'integrità dei tuoi dati nel cloud e la continua disponibilità dei servizi cloud, è importante implementare un monitoraggio continuo per la rilevazione precoce delle minacce. Test regolari e approfonditi insieme a valutazioni aggiuntive dopo cambiamenti architetturali significativi rafforzeranno le tue difese di sicurezza. Adottando queste misure proattive, le organizzazioni possono mantenere una postura di sicurezza robusta, proteggendo i loro asset critici contro le minacce in evoluzione nell'ambiente cloud.