Se c’è una cosa che i recenti report sui guadagni di Microsoft, Google e Amazon hanno chiarito, è che le loro attività di cloud sono in piena espansione. Mentre il passaggio al cloud è in corso, non sono ancora abbastanza le aziende che prestano attenzione a un aspetto critico di questa crescita: l’enorme aumento dei dati generati dalle soluzioni SaaS che non è adeguatamente protetto. Questa esposizione può far correre alle aziende a un maggior rischio di attacchi ransomware, violazioni, problemi di compliance e molto altro ancora.
La crescita delle soluzioni SaaS aziendali è rapida e inevitabile. Infatti, Gartner prevede che la spesa degli utenti finali in soluzioni SaaS crescerà più del 18%, da 145,5 miliardi di dollari nel 2021 a 171,9 miliardi di dollari nel 2022. Ed è facile capire il perché. Il modello SaaS offre un valore significativo sia per i fornitori di servizi sia per i clienti, dalla riduzione dei costi alla semplificazione della gestione e della manutenzione. I vantaggi del SaaS sono molti: elimina la necessità di installare e configurare il software, dà al cliente una maggiore flessibilità finanziaria passando dal canone per la licenza alla sottoscrizione del software, non c’è bisogno di acquistare e mantenere l’hardware e le nuove versioni e gli aggiornamenti vengono distribuiti automaticamente.
Nonostante la sua rapida crescita e gli innumerevoli vantaggi, tuttavia ci sono sfide significative associate alla gestione e alla protezione dei dati sulle soluzioni SaaS. E questo è un problema che può solo peggiorare, dal momento che per molte organizzazioni i dati provenienti da applicazioni SaaS rappresentano il segmento in più rapida crescita.
Le policy di conservazione predefinite dei provider di servizi cloud non sono sufficienti
Ogni fornitore di servizi cloud (CSP) e ogni SaaS provider ha la propria policy in materia di conservazione dei dati e una volta che tale politica scade, il cliente è responsabile del backup, della protezione e, se necessario, del ripristino dei dati in caso di un attacco informatico come il ransomware. Non solo il cliente è responsabile, ma le politiche di conservazione dei dati possono differire in base al fornitore di servizi cloud, al fornitore di soluzioni SaaS e al tipo di dati SaaS. Nel mondo attuale, caratterizzato da attacchi ransomware dilaganti e da normative di privacy e compliance più severe, lasciare i dati non gestiti e non protetti è un rischio che poche organizzazioni possono correre.
Prendiamo ad esempio Microsoft 365. L’adozione di Microsoft 365 è stata fenomenale, con quasi 300 milioni di utenti e oltre il 50% di crescita degli abbonati solo negli ultimi due anni. È una delle soluzioni SaaS aziendali più popolari, eppure le opzioni di backup sono limitate in termini di dati memorizzati su Azure. Le opzioni predefinite per la suite di prodotti sono politiche di conservazione con poca considerazione per gli SLA di recupero – il che significa che la gestione e la protezione dei dati diventa in gran parte responsabilità unica del cliente. A questo vanno aggiunte le diverse politiche di conservazione dei dati per Microsoft 365 Exchange Online, OneDrive e Teams, che fanno sì che assicurare che i propri dati Microsoft SaaS siano sufficientemente protetti e gestiti diventi ancora più difficile.
Una recente indagine di Enterprise Strategy Group, “The Evolution of Data Protection Cloud Strategies“, condotta tra professionisti IT, ha scoperto che del 78% degli intervistati che utilizzano Microsoft 365, il 74% si affida ai servizi nativi di Microsoft 365 per il backup. Tuttavia, l’81% ha riferito di dover recuperare i propri dati Microsoft 365 e solo il 15% è stato in grado di recuperare il 100% dei propri dati. Questi numeri sono un segnale evidente del fatto che troppe organizzazioni stanno lasciando i dati non protetti e vulnerabili agli attacchi informatici, tra cui malware, ransomware ed esfiltrazione di dati.
Inoltre, ogni CSP e fornitore di soluzioni SaaS ha le proprie policy di conservazione come Google, Slack e Salesforce. Tutti questi fattori possono diventare rapidamente opprimenti e minare la ragione per cui il SaaS è così attraente, ovvero la semplicità di gestione e amministrazione.
Come andare avanti
Affidarsi alle politiche di conservazione e recupero predefinite dei CSP non è sufficiente. Senza l’attuazione delle giuste policy, le organizzazioni spesso hanno poca visibilità su quali dati sulle soluzioni SaaS siano effettivamente in loro possesso e se questi dati siano conformi, protetti o compromessi. “Cosa succede se vengo colpito da un attacco ransomware? Posso recuperare rapidamente i miei dati SaaS in modo da non dover pagare il riscatto e poter continuare le mie operazioni? Cosa succede se ho bisogno di fare il backup dei dati SaaS oltre i 30 giorni? Cosa succede se il ransomware colpisce più di un sito alla volta?” Sono tutte domande a cui bisogna essere preparati a rispondere quando si verifica una crisi.
La buona notizia è che ci sono diversi modi per proteggere i dati contenuti nelle soluzioni SaaS dall’impatto degli attacchi informatici che possono interrompere l’attività, sollecitare il pagamento di riscatti, esporre i dati dei clienti e danneggiare il brand e la reputazione aziendale. Ecco alcune buone pratiche da tenere a mente:
- Prendere il controllo dei dati, i dati sono la più grande risorsa competitiva di un’organizzazione ed è meglio avere un proprio servizio di backup, protezione e recupero dei dati.
- Semplificare la gestione dei dati e portare i dati SaaS nel sistema principale di gestione dei dati, con un’unica serie di policy valide per tutti i dati.
- Aggiungere la protezione dei dati SaaS al sistema di backup e ripristino, se possibile. In caso contrario, prendere in considerazione una piattaforma di gestione dei dati di nuova generazione che sia estensibile per affrontare le esigenze di gestione dei dati attuali e futuri.
- Provare una proof of concept con una soluzione Data Management as a Service (DMaaS) che permetta di aggiungere il backup e la protezione dei dati sulle soluzioni SaaS senza aggiungere infrastrutture, per poter così dedicare più tempo alla cura di altre attività business-critical.
- Proteggere i dati mentre si migra al cloud nel modo più funzionale – on premise, in cloud, as a service o in una combinazione di queste opzioni – mentre si naviga e si sfrutta un mondo ibrido e multicloud.
- Pianificare in anticipo, considerare tutte le app e soluzioni SaaS in uso e come cresceranno, si deve anticipare la curva e pianificare una strategia di gestione dei dati che risponda alle esigenze per i prossimi cinque anni e oltre.
Qualunque sia il percorso scelto, bisogna assicurarsi di fare il backup del SaaS. La quantità di informazioni e dati generati dalle soluzioni SaaS è destinata ad aumentare nei prossimi mesi e anni e, avere un piano per il backup e la protezione di tutti i dati, è una parte fondamentale della strategia di gestione dei dati e dei rischi di qualsiasi organizzazione. Ed è l’unico modo per rispondere alle domande difficili che verranno fatte quando si subirà un attacco ransomware e le operazioni si fermeranno.
di Brian Spanswick, CISO e Head of IT di Cohesity
