L’utilizzo del cloud da parte delle aziende aumenta costantemente, e con esso la quantità di dati archiviata. Chi usufruisce dei servizi cloud, indipendentemente dal modello che utilizza (IaaS, PaaS, or SaaS), deve sempre ricordare che la sicurezza dei dati è in primo luogo una sua responsabilità, non del provider del cloud. Oltre alla possibilità di compromettere i dati, altri rischi possono essere legati ai servizi cloud e non devono essere trascurati. Citrix evidenzia i cinque principali rischi del cloud che ogni azienda deve considerare.
- Il fallimento della governance dei dati
Gestire i dati in ambiente cloud è come gestirli in ambiente on-premise. In entrambi i casi, infatti, l’obiettivo è impedire l’accesso a utenti non autorizzati. I provider di servizi cloud tendono a sviluppare firewall perimetrali, a controllare gli accessi e a offrire crittografia e strumenti di monitoraggio per proteggere i dati nei loro sistemi. Tuttavia, è responsabilità del cliente capire e implementare le misure di sicurezza necessarie.
Inoltre, il luogo in cui risiedono i dati rispetto ai confini geografici può giocare un ruolo fondamentale nella strategia cloud e nella governance. Per esempio, il GDPR, la nuova legge europea per la privacy e la sicurezza, richiede che i responsabili dei dati applichino la dovuta attenzione nel momento in cui li utilizzano all’interno dell’Unione Europea e la non conformità può comportare una multa sostanziosa. I provider di servizi cloud devono assicurare che i dati risiedono all’interno dei confini geografici dell’Unione Europea. Nel caso in cui i dati debbano invece essere archiviati oltreconfine, questo deve essere esplicitato chiaramente e titolare deve dare il proprio assenso.
Un altro aspetto spesso trascurato della gestione dei dati in ambiente cloud è il loro ciclo di vita di conservazione. I componenti di archiviazione in possesso dei provider vengono offerti ai clienti come parte del servizio. I dati, di solito, vengono distribuiti su diverse unità di archiviazione per motivi di ridondanza ma, in questo scenario frammentato, il cliente non può essere sicuro che il provider abbia eliminato i dati in maniera corretta. La maggior parte dei provider fatica infatti a offrire un metodo sicuro di cancellazione dei dati e, in ogni caso, la responsabilità è in ultima analisi del titolare.
- Maggiore complessità e mancanza di formazione
I provider di servizi cloud devono poter garantire ai propri clienti facilità d’uso e veloce rientro sui costi. Tuttavia, migrare da un ambiente on-premise a uno cloud comporta un livello di complessità operativa superiore per i dipartimento IT delle aziende. Lo staff IT potrebbe non avere esperienza nella gestione e nell’assistenza di servizi cloud e questo richiederebbe una formazione specifica e adeguata.
I provider di servizi cloud offrono di solito una soluzione di crittografia per i dipartimenti IT clienti. Queste soluzioni sono diverse tra loro, per esempio, Microsoft Azure offre Azure Storage Service Encryption, mentre Amazon Web Services offre EBS Volume Encryption. Tutta questa complessità nella curva di apprendimento può portare a dei gap di sicurezza nelle implementazioni cloud e multi cloud ibride e serve quindi formare adeguatamente i team IT e spingendo il provider a installare la loro soluzione basandosi nel modo più efficace ed efficiente. Inoltre, il team IT aziendale dovrebbe sviluppare una solida policy operativa prima di passare a un modello basato su cloud.
- Errori di configurazione
L’errata configurazione di un sistema è un rischio in termini di sicurezza piuttosto comune. Per differenziarsi dalla concorrenza, i provider di servizi cloud utilizzano modelli di deployment “one-click”, dove le complessità della configurazione vengono nascoste. Poiché la configurazione presso il cliente deve essere fatta successivamente al deployment, una mancanza di comprensione tecnica può essere causa di errori o omissioni. Questo tipo di rischio può essere gestito in modo strategico pianificando la sicurezza prima del deployment, e non pensandola come qualcosa da aggiungere dopo. Le aziende clienti devono ottenere dal provider assistenza in fase di progettazione e deployment per assicurare che servizi cloud siano configurati nel modo migliore. Un’azione costante di audit e di test dovrebbe essere parte della strategia per scoprire eventuali gap di sicurezza e garantire la buona salute dei servizi cloud.
- Multi Tenant e mancanza di disponibilità
I provider di servizi cloud offrono diverse architetture basate su cloud come cloud privati, coud ibridi o multi cloud. Questa varietà ha normalmente l’obiettivo di avere in host più client, in una singola architettura cloud fisica, oppure data center posizionati in località diverse. Indipendentemente dal tipo di architettura, i provider si sforzano per confinare ogni tenant nella sua enclave e fare in modo che l’utilizzo di risorse comuni non danneggi gli altri. Un fatto importante è che è impossibile tracciare un netto confine tra aspetti tecnici e di business perché tendono a influenzarsi reciprocamente e il fallimento di uno di essi può causare un effetto domino. I provider di servizi cloud forniscono tutti i controlli di sicurezza logici e fisici che sono necessari, una enclave sicura per ogni tenant e domini multipli per mitigare i rischi di cui abbiamo parlato. Gli utenti dovrebbero effettuare la loro due diligence per capire l’impatto potenziale di un ambiente multi tenant e le strategie di mitigazione del rischio offerte dal provider.
- Il Cryptojacking
Il recente trend in continua crescita delle criptovalute porta con sé un nuovo tipo di minaccia detta cryptojacking. Le criptovalute come i Bitcoin richiedono infatti alta capacità di elaborazione e questo ha portato i cyber criminali a prendere di mira i provider di servizi cloud. Questi nuovi vettori di attacco operano in maniera occulta, sfruttando le risorse di elaborazione per arricchire utenti malintenzionati. Sebbene questo possa per certi versi sembrare innocuo perché non vengono compromessi né cancellati dati di alcun tipo, si tratta comunque di un pericolo perché vengono erosi i confini di sicurezza del cloud per inserire il codice maligno aprendo le porte ad altri metodi simili e potenzialmente dannosi. Gli attacchi a Cryptojacking sono cresciuti del 141% dal 2017, con il più grave che ha colpito l’account di Tesla su Amazon Web Services con accesso illegale per il mining di criptovaluta embeddando lo script nella piattaforma pubblicitaria di AOL. Configurazioni errate e social engineering sono i due metodi utilizzati dai cyber criminali per trasferire sull’obiettivo il codice per il cryptojacking.
