Sicurezza cloud: accessi, backup, registri, responsabilità
La sicurezza cloud poggia su quattro basi: accessi, backup, registri e responsabilità condivisa. Quali parti sono sue e quali del fornitore.
Team rabbitclipPubblicato: 6 min di lettura
In breve
La sicurezza cloud consiste nel proteggere i suoi dati e i suoi sistemi sull'infrastruttura di un fornitore facendo quattro cose insieme: limitare chi può raggiungere cosa, conservare una copia di sicurezza separata dei dati, registrare ciò che accade e sapere quale parte della sicurezza spetta al fornitore e quale a lei. Il fornitore protegge l'infrastruttura fisica; proteggere account, permessi e impostazioni è compito suo. La maggior parte delle fughe di dati nel cloud non nasce da attacchi sofisticati, ma da un'impostazione lasciata aperta o da una password debole.
La sicurezza cloud ha dunque meno a che fare con l'acquisto di uno strumento costoso che con l'applicazione disciplinata di poche abitudini di base. Di seguito esponiamo le domande che un titolare o un responsabile dovrebbe porsi, senza entrare nei dettagli tecnici.
In cosa consiste la sicurezza cloud?
Bastano quattro voci per ragionare. L'accesso è chi può entrare in quale risorsa. Il backup è poter tornare indietro quando qualcosa va perso. La registrazione è poter vedere in seguito cosa è successo. La responsabilità è sapere chi regge ciascuno degli altri tre punti.
I quattro sono legati. Se l'accesso è debole, anche il backup può essere cancellato; se non c'è registrazione, non è mai chiaro quando o come sia iniziato un problema. Trascurare uno abbassa il valore degli altri.
- Accesso: gli account, i permessi e il metodo di verifica.
- Backup: copie conservate altrove, il cui ripristino è stato provato.
- Registrazione: tracce che mostrano chi ha fatto cosa e quando.
- Responsabilità: quale livello appartiene al fornitore e quale a lei.
Cosa significa responsabilità condivisa nel cloud?
Il fornitore protegge la sicurezza fisica del data center, l'hardware e il livello di virtualizzazione. Lei protegge i suoi account, i permessi degli utenti, gli aggiornamenti del software, le regole di rete e i dati stessi. Fornitori come AWS, Google Cloud e Azure descrivono ciascuno questa linea nella propria documentazione, e vale la pena di leggerla.
Dove cada la linea dipende dal tipo di servizio che lei utilizza. Su un database gestito il fornitore applica gli aggiornamenti; su un server virtuale che ha costruito in prima persona, aggiornare spetta a lei. Annotare per iscritto, fin dall'inizio, cosa resta a lei per ogni servizio evita discussioni in seguito.
Come si protegge l'accesso?
La base del controllo degli accessi è il principio del privilegio minimo: ciascuno riceve solo il permesso che il lavoro richiede. Un addetto alla contabilità non ha bisogno di modificare le impostazioni di un server. Quando i permessi vengono concessi in modo ampio, una sola password rubata apre l'intero sistema.
La seconda base è la verifica in due passaggi. Quando una password trapela o viene indovinata, il secondo passaggio protegge ancora l'account. Per gli account amministratore dovrebbe essere obbligatoria. Vanno abbandonate anche le password condivise, perché nessuno può dire chi ha fatto cosa e quando, e perché, quando un dipendente se ne va, cambiare la password riguarda tutti.
La terza base è un controllo regolare degli accessi. L'account di chi se n'è andato, un account temporaneo che nessuno usa o un vecchio collegamento di servizio restano un rischio finché rimangono aperti. Per un gruppo di spa, chiudere gli account del personale stagionale alla fine della stagione è una routine semplice ma efficace.
- Dare a ciascuno solo il permesso di cui ha bisogno.
- Rendere obbligatoria la verifica in due passaggi sugli account amministratore.
- Usare account personali al posto di password condivise.
- Chiudere con regolarità gli account di chi se n'è andato e quelli inutilizzati.
Perché backup e registri vanno pensati separatamente?
Un backup le permette di tornare indietro quando qualcosa viene cancellato o danneggiato. Un backup affidabile è conservato lontano dal luogo in cui vivono i dati originali, e il suo ripristino è stato davvero provato; un backup non provato è solo la supposizione che funzionerà. Una funzione di copia offerta dal fornitore non sostituisce una strategia di backup distinta.
I registri le permettono di capire cosa è successo quando c'è un problema. Tracce come chi ha effettuato l'accesso e quando, o quale impostazione è stata modificata, rendono possibile trovare l'origine di un problema. In un sistema che non conserva registri, anche un problema risolto lascia la causa sconosciuta e lo stesso guasto ritorna. Può esistere un obbligo di legge sulla durata di conservazione dei registri; per questo bisogna consultare un legale.
Quando non servono tutti i livelli di sicurezza?
La sicurezza deve essere proporzionata al rischio. Per un piccolo sito vetrina che non conserva dati sensibili dei clienti, una segmentazione di rete complicata o strumenti di monitoraggio costosi sono spesso superflui; bastano il controllo degli accessi di base, i backup e gli aggiornamenti. Più livelli del necessario producono una complessità che nessuno riesce a gestire.
Al contrario, in un sistema che conserva dati di pagamento, dati sanitari o dati personali, queste basi non bastano; entrano in gioco ulteriori misure e requisiti di legge. Per capire da che parte si trova, basta chiedersi che tipo di dati conserva il sistema e cosa accadrebbe se trapelassero.
Quali errori sono frequenti nella sicurezza cloud?
L'errore più comune è dare per scontato che il fornitore protegga tutto. Un'area di archiviazione lasciata per errore aperta al pubblico è il risultato più noto di questa supposizione. Il secondo errore è conservare un backup in un solo posto e non provarlo mai.
Il terzo errore è concedere permessi in modo ampio per comodità. Fa risparmiare tempo all'inizio, ma il prezzo è alto quando un account viene preso. Il quarto è trattare la sicurezza come un lavoro una tantum; man mano che cambiano impostazioni, personale e servizi, la sicurezza va riesaminata.
- Dare per scontato che il fornitore protegga tutto.
- Lasciare per errore aree di archiviazione aperte al pubblico.
- Conservare il backup in un solo posto e non provarlo mai.
- Concedere permessi ampi per comodità.
- Trattare la sicurezza come un lavoro una tantum.
La sicurezza cloud poggia su quattro basi: limitare l'accesso, tenere un backup separato e provato, registrare ciò che accade e sapere quale parte della responsabilità è sua. Nulla di tutto questo richiede uno strumento costoso; richiede disciplina. Se desidera verificare fino a che punto la sua impostazione attuale risponde a queste basi, può fissare un colloquio conoscitivo con rabbitclip.
Domande frequenti
Il cloud è più sicuro del mio server?
Per la sicurezza fisica e la manutenzione dell'hardware, spesso sì. Ma account, permessi e impostazioni restano a lei; se li trascura, il cloud non sarà più sicuro.
Il fornitore non fa i backup?
I fornitori offrono funzioni di copia, ma queste non sostituiscono una strategia di backup distinta. Dovrebbe verificare personalmente dove viene conservato il backup e se il ripristino da esso è stato provato.
La verifica in due passaggi è davvero necessaria?
Per gli account amministratore, sì. Anche se una password trapela o viene indovinata, il secondo passaggio protegge l'account e chiude la via d'attacco più comune.
È appropriato usare il cloud per dati personali?
Può esserlo, ma la normativa sulla protezione dei dati le impone degli obblighi. Dovrebbe consultare un legale su dove i dati verranno conservati e su come verranno protetti.
