Che cos'è la Cloud Security?
Classificata al primo posto nella quota di mercato della piattaforma di protezione delle applicazioni native per il cloud per 6 anni consecutivi
Capire la sicurezza del cloud
La sicurezza del cloud è un insieme di procedure, politicy e tecnologie che rafforzano gli ambienti informatici basati sul cloud contro le potenziali minacce alla cybersecurity. Come componente cruciale dell'architettura del cloud, le misure di sicurezza del cloud mirano a mantenere i dati, le applicazioni e i servizi del cloud protetti dalle minacce nuove ed esistenti attraverso controlli e soluzioni adeguati. La sicurezza del cloud può essere ottenuta attraverso il modello di responsabilità condivisa, in cui sia i provider di servizi cloud (CSP) che i clienti cloud hanno i propri aspetti che dovrebbero gestire e proteggere.
Cloud Computing - Modelli di servizi cloud
Il cloud computing è la pratica di accedere a software, database e risorse informatiche su Internet, piuttosto che affidarsi esclusivamente all'hardware locale. Questo approccio consente alle aziende di scalare in modo efficiente esternalizzando parte o tutta la gestione dell'infrastruttura a fornitori cloud esterni.
Alcuni dei servizi di cloud computing più utilizzati includono:
Infrastruttura come servizio (IaaS)
Il modello IaaS consente a un'azienda di creare il proprio datacenter virtuale (vDC). Un datacenter virtuale offre risorse basate sul cloud al posto dei vantaggi fisici che può fornire un datacenter tradizionale. Con un datacenter virtualizzato non c'è bisogno di manutenzione regolare, aggiornamenti o assistenza per le macchine fisiche.
Platform as a Service (PaaS)
Il modello PaaS offre una serie di opzioni che consentono ai clienti di fornire, distribuire o creare software.
Software as a Service (SaaS)
Con il modello SaaS, i clienti ricevono un software che non richiede l'uso di un computer o di un server per il suo utilizzo. Esempi di questa modalità includono Microsoft 365 (precedentemente noto come Office 365) e Gmail. Con queste opzioni, i clienti hanno bisogno solo di un computer, di un tablet o di un telefono per accedere a ogni applicazione. Le aziende utilizzano una varietà di termini derivati per evidenziare i loro prodotti, da DRaaS (disaster recovery) ad HSMaaS (hardware security module), a DBaaS (database) e, infine, a XaaS (qualunque cosa). A seconda di ciò che viene commercializzato da un'azienda, può essere difficile determinare se un prodotto è SaaS o PaaS ma, alla fine, la cosa più importante è la comprensione delle responsabilità contrattuali del fornitore. I provider cloud estendono i loro contratti per aggiungere sicurezza alle formazioni cloud tramite servizi quali HSMaaS (hardware security module) o DRMaaS (digital rights management).
Modelli di distribuzione in cloud
I modelli di distribuzione del cloud definiscono il modo in cui i servizi cloud vengono gestiti e accessibili in base alle esigenze di un'organizzazione. Ogni modello ha diversi livelli di controllo, scalabilità e sicurezza, rendendo essenziale scegliere quello giusto in base agli obiettivi aziendali.
I quattro modelli di distribuzione sono:
Cloud pubblico
Un'infrastruttura aperta all'uso da parte del pubblico o di un grande gruppo industriale, che opera su un modello multi-tenant; più utenti di diverse organizzazioni accedono al servizio contemporaneamente
Disponibile per l'acquisto da parte di chiunque. I migliori esempi odierni sono Amazon Web Services (AWS), Microsoft Azure e Google Cloud Platform (GCP).
Cloud privato
realizzato per una specifica società con hardware che non è condiviso con nessun altro. Il modello privato potrebbe essere costruito su un cloud pubblico o all'interno del proprio datacenter, o presso un'azienda specializzata nella creazione di cloud privati, ovvero un fornitore di servizi gestiti, ed è inaccessibile a coloro che si trovano al di fuori dell'organizzazione in quanto opera su un modello single-tenant; solo i dipendenti di un'organizzazione possono accedere al cloud privato per diverse esigenze operative
Community
Prevede il concetto di condivisione tra aziende. Il servizio può essere condiviso oppure i dati possono essere condivisi all'interno di tale servizio. Un esempio potrebbero essere i cloud realizzati dal governo e condivisi da molteplici enti.
Cloud ibrido
prevede l'utilizzo di almeno due dei tre modelli di distribuzione elencati in precedenza: pubblico e privato, privato e di comunità oppure pubblico e di comunità. Ad esempio, sia con il cloud privato che con quello pubblico, consente di compensare la natura affidabile del cloud privato e la capacità on-demand del cloud pubblico
È ideale per le aziende che forniscono servizi o prodotti
Sicurezza del cloud: Comprendere la responsabilità condivisa
In generale, i concetti di "sicurezza del cloud" rispetto a "sicurezza nel cloud" sono stati introdotti da Amazon per chiarire la responsabilità condivisa di fornitori e clienti in merito alla sicurezza e alla conformità del cloud. I fornitori sono principalmente responsabili dell'infrastruttura fisica e di rete che costituisce il servizio cloud, quindi viene applicata una scala scorrevole a seconda dello specifico servizio cloud acquistato, che determina quindi la responsabilità diretta della sicurezza del cliente.
In termini più pratici, come discusso in questo articolo "Il cloud: Che cos'è e a cosa serve", i diversi modelli di servizio cloud, infrastruttura come servizio (IaaS), piattaforma come servizio (PaaS) e software come servizio (SaaS), determinano quali componenti, dall'infrastruttura fisica che ospita il cloud fino ai dati creati, elaborati e archiviati in esso, saranno responsabilità del fornitore o del cliente e quindi chi sarà responsabile della loro protezione.
La sicurezza del cloud fa parte dell'offerta dei provider di servizi cloud. Ciò è garantito da accordi e obblighi contrattuali, compresi gli accordi a livello di servizio (SLA) con il fornitore e il cliente. Le metriche delle prestazioni come il tempo di attività o la latenza, insieme alle aspettative relative alla risoluzione dei problemi che possono sorgere, alle funzionalità di sicurezza documentate e forse anche alle sanzioni per le prestazioni insufficienti, possono essere generalmente gestite da entrambe le parti attraverso l'impostazione di standard accettabili.
Per la maggior parte degli utenti del cloud, il resto di questo documento illustra le sfide, le minacce e altre aree coperte dalla "sicurezza nel cloud".
Sfide di sicurezza del cloud
Maggiore superficie di attacco
L'adozione del cloud espande la superficie di attacco di un'organizzazione introducendo più punti di ingresso per gli aggressori. Ad esempio, l'utilizzo di più applicazioni SaaS può esporre i collegamenti deboli. Le organizzazioni dovrebbero adottare principi di zero-trust, segmentare le risorse e valutare regolarmente il loro stato di sicurezza per ridurre al minimo l'esposizione.
Configurazioni errate
Le configurazioni errate sono una delle principali cause di vulnerabilità del cloud, spesso esponendo i dati sensibili ad accessi non autorizzati. Ad esempio, un bucket Amazon S3 configurato in modo improprio potrebbe lasciare i file riservati accessibili al pubblico. Le organizzazioni possono prevenire le configurazioni errate automatizzando la gestione della configurazione, conducendo controlli regolari e formando il personale sulle best practice.
Modelli di responsabilità condivisa
I cloud provider proteggono l'infrastruttura, mentre i clienti sono responsabili della protezione dei propri dati e applicazioni. Il fraintendimento di questa responsabilità condivisa può lasciare esposte le aree critiche. Ad esempio, la mancata crittografia dei dati archiviati può comportare violazioni. Definizioni chiare dei ruoli, revisioni approfondite degli SLA e monitoraggio continuo sono fondamentali per mitigare questo rischio.
Complessità di conformità
Districarsi tra i requisiti di conformità come GDPR, HIPAA e PCI-DSS può essere difficile negli ambienti cloud. Anche se i provider di servizi cloud offrono spesso strumenti e framework per supportare la conformità, la responsabilità finale per la privacy e la sicurezza dei dati spetta alle aziende che utilizzano il cloud. Le organizzazioni devono lavorare a stretto contatto con i fornitori per garantire il rispetto degli standard di conformità, utilizzare la crittografia e altre misure di sicurezza per salvaguardare i dati sensibili e rimanere informate sulle normative in evoluzione per evitare potenziali violazioni.
Violazioni dei dati
La natura multi-tenant degli ambienti cloud, in cui più clienti condividono la stessa infrastruttura, aumenta il rischio di una violazione dei dati poiché le vulnerabilità nel sistema di un tenant possono potenzialmente avere un impatto su altri. Gli aggressori possono sfruttare credenziali deboli, API non protette o vulnerabilità all'interno di risorse condivise per ottenere un accesso non autorizzato.
Aspetti chiave della sicurezza del cloud
Tutti gli aspetti di una politica di sicurezza del cloud sono importanti, ma ci sono alcuni elementi di base che ogni fornitore dovrebbe offrire. Questi sono considerati essenziali e tra gli aspetti più importanti di un'infrastruttura di sicurezza del cloud. Assicurarsi che il fornitore scelto garantisca tutti questi elementi di base significa ottenere la strategia di sicurezza del cloud più completa che si possa implementare.
Monitoraggio continuo: I fornitori di sicurezza del cloud possono offrire uno sguardo su ciò che accade nelle vostre piattaforme cloud, conservando con continuità i registri dei log. In caso di incidente, il team di sicurezza può ispezionare e confrontare i registri interni con quelli del provider per avere una visione di potenziali attacchi o modifiche. In questo modo è possibile individuare e rispondere rapidamente a eventuali incidenti.
Gestione delle modifiche: Il fornitore di sicurezza del cloud dovrebbe offrire protocolli di gestione delle modifiche per monitorare il mantenimento della conformità quando vengono richieste modifiche, quanto le risorse vengono modificate o spostate, oppure quando vengono forniti o disattivati nuovi server. È possibile implementare applicazioni dedicate alla gestione delle modifiche per monitorare automaticamente i comportamenti insoliti, in modo che tu e il tuo team possiate agire rapidamente per mitigarli e correggerli.
Controlli di sicurezza Zero-trust: isola le risorse e le applicazioni mission-critical dalla rete del cloud. Mantenere privati e inaccessibili i workload protetti aiuterà a far rispettare i criteri di sicurezza che proteggono il tuo ambiente basato sul cloud.
Protezione dei dati a 360 gradi: il fornitore deve offrire una maggiore protezione dei dati con crittografia aggiuntiva per tutti i livelli di trasporto, buona igiene dei dati, monitoraggio continuo della gestione dei rischi, condivisione sicura dei file e comunicazioni a tenuta stagna. In breve, il tuo fornitore deve essere al top del settore quando si tratta di proteggere i dati della tua azienda in ogni modo e forma.
Chiediti: “Quali sono le mie preoccupazioni?” Questo ti aiuterà a determinare le domande da porre al tuo provider di cloud al fine di comprendere gli aspetti più importanti da tenere a mente.
Perché scegliere Trend Vision One™ – Cloud Security?
Facendo progredire la sicurezza dai datacenter ai workload in cloud, alle applicazioni e alle architetture native del cloud, Cloud Security fornisce protezione basata sulla piattaforma, gestione dei rischi e rilevamento e risposta multi-cloud.
Passa da prodotti disconnessi a una piattaforma di cybersecurity con un'ampiezza e una profondità di funzionalità senza pari, tra cui CSPM, CNAPP, CWP, CIEM, EASM e altro ancora. Molto di più.
Dì addio a scoperta e inventario frammentati. Un'unica console con sensori nativi e fonti di terze parti fornisce una visibilità ibrida e multi-cloud completa per determinare quali asset potrebbero essere esposti ad attacchi.
La prima piattaforma di cybersecurity che valuta e assegna una priorità ai rischi per le risorse on-premise e in cloud in base alla probabilità di impatto potenziale degli attacchi. Mappa il rischio di più fonti di dati in un unico indice per monitorare i tuoi miglioramenti.
Articoli correlati
Ricerche correlate