Le aziende abbracciano i progetti di trasformazione digitale e per farlo sfruttano i vantaggi offerti dal cloud, spostando parte dei carichi di lavoro anche sul cloud pubblico per sfruttare la possibilità di un go to market “accelerato”.
A questo proposito, Gartner evidenzia una marcata crescita per l’adozione di servizi di cloud pubblico, a doppia cifra, che raggiungerà nel 2021 un volume complessivo di spesa superiore ai 270 miliardi di dollari. Insieme ai vantaggi però è importante riuscire a valutare anche i rischi, le sfide per la sicurezza, e metterle a fuoco è essenziale per operare bene. Check Point e Lutech propongono in questo senso una serie di riflessioni su cinque aspetti critici. La prima riflessione riguarda i data breach, le violazioni sui dati.
I data breaches
Spesso le organizzazioni, che per anni si sono giustamente preoccupate di difendere le reti “premise-based”, non realizzano di dover mantenere alta l’attenzione in questo senso anche nella gestione dei workload e dei flussi di informazioni “da e verso” il cloud. Se infatti, da un lato, i fornitori di servizi cloud concentrano i propri sforzi sulla protezione dell’infrastruttura (data center, cloud fabric, hypervisor, servizi e ambienti), spetta a chi utilizza il cloud mantenere alta la protezione sulle informazioni portate sulla nuvola.
La capacità del malware di “spostarsi in modo laterale”, determina anche la sua maggiore diffusione, per esempio per la sua capacità di propagarsi tra dati infetti portati in cloud e quelli “consumati” sulle risorse aziendali. Per questo è necessario implementare sistemi avanzati non solo di protezione, ma anche di prevenzione delle minacce in grado di ispezionare tutto il traffico sia in entrata, sia in uscita.
Account compromessi
Oltre alle informazioni in cloud è critica la protezione degli account. Phishing, Keylogging e script malevoli creati ad arte possono permettere agli attaccanti di violare in modo trasparente gli account di accesso legittimi, e le credenziali utente, spesso autentiche vengono poi utilizzate per falsificare o manipolare i dati e le configurazioni di fatto aprendo una vera e propria autostrada per gli attacchi successivi.
E’ uno dei rischi, ma non l’unico. A volte sono gli stessi sviluppatori che, in modo del tutto involontario, contribuiscono a rendere vulnerabili gli ambienti per esempio incorporando le credenziali o le chiavi crittografiche nel codice sorgente, esponendo le informazioni sui repository come GitHub, e tralasciando di implementare policy adeguate per la modifica periodica di password e credenziali. L’approccio migliore ovviamente dovrebbe includere invece anche sistemi di autenticazione multifattoriali.
Sicurezza, il nemico è in casa
In più contributi abbiamo evidenziato come tra i principali problemi per la sicurezza sia da segnalare la mancanza di competenze e formazione. Non parliamo in questo caso del bisogno insoddisfatto di esperti in sicurezza, quanto piuttosto della formazione di base degli utenti e dei team di sviluppo che spesso si comportano in modo superficiale e configurano l’infrastruttura senza studiare i vantaggi offerti dalla granularità delle impostazioni possibili, lasciando quindi quelle predefinite, o addirittura collegando gli asset in cloud direttamente a Internet.
Gli architetti cloud e i team DevOps non sempre comprendono esperti in sicurezza, e questo rappresenta un’ulteriore criticità, soprattutto quando sono da mettere in sicurezza le applicazioni e i flussi di traffico di dati in cloud, ma è pure vero che gli stessi team di sicurezza a loro volta non sono consapevoli delle modalità operative dei team DevOps e quindi faticano ad immaginare il reale scenario in cui si opera. Per certi aspetti, proprio la mancanza di formazione ed allineamento dei team rappresenta essa stessa una minaccia per lo sviluppo di progetti sicuri in cloud.
Esporre le API ma in sicurezza
Integrare le applicazioni con gli altri processi – per esempio di provisioning, orchestrazione e gestione – e la personalizzazione necessaria dei servizi cloud richiedono l’utilizzo di Application Programming Interface (API), ma le stesse API possono essere sfruttate in modo intelligente per manipolare a proprio vantaggio l’ambiente cloud perché per loro natura sono progettate anche per fornire i controlli di accesso e di autenticazione che possono aprire la via agli exploit da parte di hacker esperti.
I rischi crescono allorquando poi, per sfruttare al meglio tutti i vantaggi offerti dal cloud, vengono esposte applicazioni e servizi all’utilizzo di terze parti (i partner della supply chain, per esempio, o i fornitori di servizi). Per questo, è invece necessario ed importante pensare a rigorose revisioni del codice, adottare un approccio zero-trust, prevenire l’utilizzo improprio e mitigare i rischi con rigorosi penetration test.
Crittografia, non tutti la usano
La protezione dei dati attraverso l’utilizzo della crittografia non è certo una “scoperta” recente, eppure ancora tante realtà non riescono ad utilizzarla in modo adeguato o non la utilizzano del tutto. Nel cloud, questo fenomeno è ancora più marcato; eppure non mancano oggi i servizi per poter sfruttare nel modo più vantaggioso le tecnologie di crittografia per la protezione dei dati sensibili, e non solo di quelli. Un vantaggio, senza dubbio, a patto di tenere alto il controllo anche sulle pratiche di sicurezza del cloud provider che si è scelto come partner.
In uno scenario poi in cui è sempre più elevato l’utilizzo dei servizi cloud dai dispositivi mobile personali (Byod) e la collaboration, anche gli utenti dovrebbero prestare maggiore attenzione all’esposizione dei dati, spesso il primo passo verso lo shadow IT. Secondo Gartner, addirittura un terzo delle violazioni di sicurezza nel 2020 sarebbero riconducibili proprio allo shadow IT. Sarebbe quindi importante comprendere che l’attenzione va tenuta alta, non solo quando i dati sono in cloud – tanto e di più rispetto a quando sono on-premise – ma anche nella fase “da e per” il cloud, ovvero quando i dati si spostano sulle reti.
Agilità, efficienza e risparmio sono quindi senza dubbio vantaggi importanti per chi ricorre al cloud e non sorprende quindi che circa il 94% delle aziende utilizzi almeno un servizio di public o private cloud. Questo non deve però permettere di abbassare la soglia di attenzione sui problemi di sicurezza, e nemmeno lasciare credere che le soluzioni di sicurezza tradizionali siano adatte “as is” anche nel cloud. Come evidenziato, sono diverse le sfide specifiche in cloud che le organizzazioni si trovano ad affrontare ed è mandatorio individuare per questo tecniche e tecnologie adeguate per proteggere in modo ottimali dati, informazioni e asset.
Leggi tutti i contributi della Room “Le sfide della sicurezza cloud“, a cura di Lutech e CheckPoint
© RIPRODUZIONE RISERVATA
