Lottando con la sicurezza cloud? Come il modello di responsabilità condivisa può aiutare

Il passaggio di elementi operativi al cloud può essere un grande passo avanti per le aziende. Ciò consente loro di scalare rapidamente le applicazioni e i servizi, mantenendo al tempo stesso l’organizzazione agile in risposta alle mutevoli esigenze del mercato.

Tuttavia, l’aumento dell’adozione del cloud può anche aggiungere un certo livello di confusione quando si tratta di chi è responsabile della gestione della sicurezza dei dati. Purtroppo, molte aziende assumono che quando i dati dei clienti sono fuori dalle loro mani, non sono più responsabili per la loro protezione. Ma questa è un’ipotesi pericolosa da fare.

Il modello di responsabilità condivisa (SRM) è stato introdotto per aiutare le aziende e i loro fornitori di servizi cloud a tracciare linee più precise quando si tratta di responsabilità di sicurezza negli ambienti digitali. Di seguito, descriveremo meglio come questo modello è costruito e come può aiutare a rafforzare la postura di sicurezza della tua azienda.

Cosa è il modello di responsabilità condivisa (SRM)?

Ci sono molti motivi per cui le aziende decidono di spostare parte o tutte le loro operazioni commerciali nel cloud. Non dover configurare manualmente server e database o altri elementi di infrastruttura può aiutare le aziende a ridurre i costi e a ridurre il carico di lavoro delle loro squadre interne. Tuttavia, le aziende a volte dimenticano che il trasferimento della “gestione” di questa infrastruttura non significa trasferire la “responsabilità” per i dati archiviati lì.

Il SRM separa le responsabilità tra un fornitore di servizi cloud (CSP) e le aziende con cui collabora. In sostanza, definisce quali aspetti della sicurezza spettano a ciascuna parte e come le misure di sicurezza devono essere gestite e implementate su entrambi i lati della relazione.

Comprendere “Del cloud” vs. “Nel cloud”

Il SRM si basa su disposizioni relative a due termini chiave: DEL cloud e NEL cloud.

Quando parliamo di requisiti DEL cloud, ci riferiamo a ciò che i CSP assumono come responsabilità. In questo caso, puoi pensare a un CSP come a un proprietario di un complesso di appartamenti. Sono responsabili della sicurezza generale degli edifici, che include vari dispositivi di sicurezza, cancelli e protocolli di ingresso sicuri, e assicurarsi che le utilities di base funzionino come dovrebbero, come l’acqua e l’elettricità.

Negli ambienti cloud, ciò significa installare e mantenere tutti gli apparecchi di rete e affrontare eventuali esigenze di servizio sottostante per mantenere gli ambienti in esecuzione senza problemi.

Come cliente cloud, sei responsabile degli elementi NEL cloud. Ad esempio, se fossi un inquilino in un edificio e accidentalmente lasciassi la porta aperta, permettendo a qualcuno di rubare i tuoi oggetti personali, il proprietario non sarebbe necessariamente responsabile.

Se archivii informazioni nel cloud, hai sempre un certo livello di responsabilità per mantenerle sicure. Ciò non significa necessariamente che tutta la responsabilità ricada su di te per mantenerle al sicuro, ma sei comunque responsabile di cose come la gestione delle identità e degli accessi (IAM), la sicurezza delle applicazioni e il rafforzamento della rete.

La scala mobile di responsabilità

A causa della natura dinamica della maggior parte degli ambienti cloud e delle loro relazioni con i CSP, il SRM opera su una scala mobile, con responsabilità che si spostano in qualche misura in base al tipo di relazione di lavoro in atto. Di seguito sono riportati i tre modelli cloud comuni e come differiscono l’uno dall’altro:

• Infrastructure as a Service (IaaS): questo modello lascia ai CSP la responsabilità di proteggere determinati componenti cloud fondamentali. Ciò include i centri dati fisici, i server, l’hardware di archiviazione e il livello di virtualizzazione. I clienti cloud sono responsabili di tutto ciò che si trova al di sopra, che include la sicurezza del sistema operativo guest (OS), la gestione di tutti i middleware e i runtime, e la protezione del codice dell’applicazione e dei dati in esso contenuti.
• Platform as a Service (PaaS): questo modello estende ulteriormente le responsabilità ai CSP, che assume la gestione di sistemi operativi, sistemi di database o ambienti di runtime. Si occuperanno anche della manutenzione della piattaforma stessa. Per le aziende, ciò può ridurre notevolmente il carico di lavoro della gestione dell’infrastruttura, consentendo loro di concentrarsi maggiormente sulla gestione e sulla sicurezza delle applicazioni.
• Software as a Service (SaaS): questo modello è il formato più hands-off per gli utenti cloud, poiché trasferisce la responsabilità completa dell’infrastruttura al CSP. Tuttavia, ciò non significa che le responsabilità di sicurezza siano completamente trasferite. Gli utenti cloud sono ancora responsabili della gestione dell’accesso degli utenti, delle autorizzazioni e delle impostazioni di sicurezza a livello di amministratore.

Perché comprendere il SRM è importante

Eliminare l’ambiguità

Sebbene molte organizzazioni si preoccupino che la loro minaccia più grande per la sicurezza cloud sia un attaccante informatico, le comunicazioni errate e i malintesi nelle relazioni cloud sono anch’essi una preoccupazione.

Se i CSP e i loro clienti suppongono erroneamente che l’altra parte stia gestendo determinati compiti di sicurezza, ciò può portare a gravi vulnerabilità per i dati dei clienti. La comprensione del SRM aiuta a eliminare questa ambiguità, fornendo a entrambe le parti una maggiore trasparenza nella creazione di accordi di livello di servizio (SLA) e nel rispetto degli obblighi reciproci.

Evitare la trappola della delega eccessiva

Molte aziende che sono nuove agli ambienti cloud sbagliano a capire come funzionano le responsabilità nel cloud. Poiché stanno pagando per un “servizio”, può spesso essere supposto che un CSP si occupi di tutto per conto dell’azienda.

Tuttavia, quando si tratta di sicurezza cloud, non vuoi cadere nella trappola della delega eccessiva, specialmente riguardo ai controlli di sicurezza amministrativa che il tuo CSP ha configurato. Il SRM aiuta a mantenere queste responsabilità in prospettiva e a mantenere le aziende attivamente coinvolte nell’applicazione delle politiche di protezione dei dati.

Riempire le lacune di conformità

Comprendere gli standard di conformità di sicurezza può a volte diventare poco chiaro per le aziende che entrano negli ambienti cloud. Sebbene tutti i CSP abbiano responsabilità nel seguire specifici framework di conformità, l’utente cloud ha anch’esso responsabilità in questa area.

Il SRM definisce le responsabilità dei CSP riguardo alla gestione dell’infrastruttura, mentre mantiene gli utenti cloud responsabili di come le applicazioni e i servizi sono costruiti e gestiti, in particolare per quanto riguarda l’archiviazione e l’accesso dei dati dei clienti.

Come il modello di responsabilità condivisa può aiutare a migliorare la tua postura di sicurezza

Chiarisce la proprietà e prevenire malintesi

Ogni compito di sicurezza sia negli ambienti on-premise che off-premise dovrebbe avere una chiara proprietà di sicurezza stabilita. Il SRM rende molto più facile rimuovere le aree grigie su chi gestisce quale responsabilità e consente di sviluppare una governance coerente all’interno e con i CSP.

Avere una documentazione formale sulla preparazione alla sicurezza aiuta a ridurre il numero di vulnerabilità che possono essere sfruttate attraverso applicazioni e servizi connessi, ed elimina la pianificazione della sicurezza basata sulle ipotesi.

Ottimizza le risorse di sicurezza interne

Comprendere il ruolo che i fornitori di servizi cloud svolgono nella gestione dell’infrastruttura di sicurezza rende più facile mantenere le squadre di sicurezza concentrate sulle aree che più interessano all’azienda.

Ciò consente di esternalizzare processi intensivi in termini di risorse come il patching dei server o la gestione dei database al proprio CSP, consentendo alle proprie squadre di concentrarsi di più sulla sicurezza del codice dell’applicazione, sulla progettazione e sull’implementazione di nuove politiche di accesso degli utenti.

Impone la centralità dei dati e dell’identità

I componenti dell’infrastruttura cloud possono sempre essere sostituiti durante una violazione dei dati, ma la stabilità finanziaria e la reputazione aziendale possono subire danni irreparabili durante lo stesso incidente.

L’applicazione del SRM aiuta l’azienda a fare meno affidamento su un CSP per mantenere le cose sicure e a spendere più tempo nello sviluppo di importanti principi di sicurezza che possono essere applicati agli amministratori e ad altri soggetti chiave dell’organizzazione.

Impone la configurazione della sicurezza in primo luogo

La maggior parte dei nuovi servizi cloud offre diverse impostazioni configurabili per la sicurezza cloud. Tuttavia, la mancanza di consapevolezza riguardo alle vulnerabilità di configurazione del cloud può portare a rischi di sicurezza significativi in futuro.

Il SRM aiuta l’azienda a concentrarsi sulla configurazione della sicurezza in primo luogo, dando priorità alla conformità con l’industria rispetto alla velocità e alla convenienza. Molti framework di sicurezza sono ora costruiti attorno alle politiche del SRM, assicurando che le nuove configurazioni di macchine virtuali o database soddisfino requisiti severi prima della distribuzione.

Inoltre, i servizi di testing di penetrazione esterni sono progettati per comprendere i requisiti del SRM mentre eseguono valutazioni di vulnerabilità attive per vedere come l’azienda sta soddisfacendo le relative responsabilità. Sfruttare questi servizi può aiutare le organizzazioni a testare le proprie gruppi di sicurezza, le politiche di gestione delle identità e i metodi di crittografia dei dati per assicurarsi che soddisfino gli standard dell’industria.

Migliora la visibilità attraverso la registrazione degli eventi di audit

Poiché il SRM comporta normalmente la cooperazione e la trasparenza tra i fornitori di servizi cloud e i loro clienti, aiuta a mantenere tutti più consapevoli dell’efficacia del proprio rafforzamento della sicurezza.

La registrazione degli eventi di audit e il monitoraggio attivo sono entrambi elementi essenziali dell’applicazione delle politiche del SRM sia per i CSP che per i clienti cloud. Ci sono ora molti strumenti cloud-native e di terze parti disponibili per le aziende per monitorare la forza complessiva della propria sicurezza cloud e rispondere rapidamente e efficacemente ai rischi di sicurezza emergenti.

Tutto ciò significa una pianificazione della sicurezza più proattiva per tutti, aiutando a ridurre il numero di incidenti di sicurezza che si verificano e riducendo i rischi di esposizione dei dati.

Rendi la sicurezza cloud una priorità assoluta

Trattare il modello di responsabilità condivisa come parte fondamentale della tua strategia è fondamentale mentre la tua azienda cresce.

Comprendere e riconoscere il tuo ruolo nella sicurezza cloud ti aiuta a evitare di fare ipotesi pericolose riguardo alle responsabilità mentre ti impegni attivamente a proteggere tutte le tue superfici di attacco digitali.