Tre consigli semplici ma efficaci per non mettere a rischio i dati in cloud.
Autore: Redazione SecurityOpenLab
La crescita esponenziale della quantità di dati che le imprese devono gestire ha portato alla migrazione cloud, che introduce scalabilità, flessibilità e archiviazione a costi contenuti. L’incognita di questo passaggio resta sempre la sicurezza: secondo la Cloud security alliance (CSA) il 96% delle aziende ammette di non avere una sicurezza sufficiente per i dati sensibili del cloud. La questione è molto complessa, Rick Vanover, Senior Director, Product Strategy di Veeam la affronta individuando le tre best practice più importanti per una gestione adeguata della data protection in cloud: conoscere i propri dati e le proprie responsabilità, e ottimizzarne i costi di gestione.
Il primo punto parte dal presupposto che il dato non è un patrimonio statico e fine a sé stesso. È una informazione dinamica che viene scritta, modificata, spostata, copiata, gestita da una serie di persone. Sono queste persone a determinare per buona parte la sicurezza dell’informazione. In particolare, tutti i dipendenti aziendali utilizzano gli stessi account? Che tipi di dati produce e gestisce l’azienda? Che diritti di accesso e di modifica hanno i dipendenti? In quali ambienti vengono usati i dati e con quali finalità?
Sembrano tante domande, in realtà sono una minima parte di quelle che ci si dovrebbe porre quando si parla di dati in cloud. La prima cosa da sapere dovrebbe essere quali dati sono mission-critical e sensibili, quindi è necessario classificarli, anche impiegando motori di classificazione automatizzati.
Terminato questo compito preliminare si può iniziare a ragionare sulla protezione. Un problema fondamentale di cui spesso le aziende non si rendono conto riguarda le proprie responsabilità in materia di sicurezza e protezione dei dati nel cloud. Il famoso modello della responsabilità condivisa su cui si basa la sicurezza del cloud: il fornitore cloud in genere è responsabile della sicurezza dell'infrastruttura e delle strutture fisiche che la ospitano. Il cliente è invece responsabile della sicurezza delle applicazioni, dei dati e dell'accesso all'ambiente. Vanover sottolinea quindi una verità fondamentale: le aziende devono assicurarsi di avere backup di tutti i dati critici e sensibili archiviati nel cloud in caso di violazioni o interruzioni.
L'altra responsabilità fondamentale che spetta all'azienda è il controllo degli accessi e dei privilegi. Se ogni utente del cloud ha accesso alla God Mode, qualsiasi violazione sarà devastante. Allo stesso modo, se si utilizza un singolo account per svolgere più funzioni diverse, come la protezione e il provisioning. La prassi migliore è utilizzare correttamente la gestione degli accessi e delle identità tra gli account e le sottoscrizioni, in modo da poter rimuovere facilmente il dominio di errore in caso di violazione della sicurezza. A livello di utenti, la regola d’oro è l’applicazione del privilegio minimo in tutto l'ambiente cloud, in modo che le persone abbiano accesso solo alle risorse e agli ambienti di cui hanno reale necessità.
Per mantenere l'ambiente cloud sano ed economicamente vantaggioso a lungo termine è importante disporre di processi di igiene dei dati cloud. Significa sincerarsi di avere un adeguato processo di ciclo di vita dei dati, archiviando le informazioni sulla giusta piattaforma di archiviazione nel cloud, che cambierà nel corso del suo ciclo di vita.