Quanto sono sicuri i tuoi dati nel cloud?

Prima di approfondire le sfide in materia di sicurezza legate ai diversi tipi di cloud, diamo uno sguardo al quadro generale. Hosting dei dati nel cloud o infrastruttura in loco? Qual è la soluzione più adatta alla vostra azienda? Francamente, entrambe le soluzioni presentano i propri vantaggi.

Server dedicati: maggiore controllo, minore scalabilità

Un server dedicato è un server fisico che si acquista o si noleggia interamente per le proprie esigenze aziendali. I server dedicati sono solitamente utilizzati da grandi aziende e organizzazioni che richiedono livelli eccezionalmente elevati di sicurezza dei dati, così come da organizzazioni che hanno esigenze costanti ed elevate in termini di capacità del server.

Il vantaggio principale dell'utilizzo di un server dedicato è un livello di controllo e sicurezza senza pari.

L'infrastruttura on-premises offre:

• Libertà di scelta dell'hardware. A differenza di un server cloud, è possibile configurare un server dedicato in base alle specifiche esatte, scegliendo il processore, la RAM, lo spazio di archiviazione e altre caratteristiche che meglio si adattano alle proprie esigenze.
• Prestazioni migliori. In sostanza, il cloud computing consiste nella fornitura di risorse IT tramite una rete IP. Pertanto, se la connessione a Internet è lenta, è probabile che si verifichino ritardi e una riduzione della produttività. Al contrario, in un server locale i dati non devono percorrere lunghe distanze, quindi è possibile accedervi più rapidamente. Di conseguenza, i server in loco rappresentano la scelta migliore per ottenere prestazioni di elaborazione ottimali.
• Maggiore livello di sicurezza. Poiché un server è un dispositivo fisicamente presente nella vostra sede aziendale e collegato direttamente, è in grado di garantire un livello di protezione più elevato per i vostri dati. Con la vostra infrastruttura, sapete esattamente dove vanno a finire i vostri dati e dove vengono archiviati. Non è necessario inviare informazioni potenzialmente sensibili tramite Internet. Di conseguenza, queste non finiranno sui dischi rigidi di un server qualsiasi in un data center a caso. La sicurezza rigorosa è senza dubbio il principale vantaggio dei server dedicati.
• Affidabilità. I disservizi del cloud non sono rari. La natura intrinsecamente legata a Internet del cloud pubblico implica che qualsiasi problema presso il proprio provider di servizi Internet (ISP) o sulla rete Internet in generale possa impedire l’accesso ai dati. Questo problema è meno rilevante nel caso delle infrastrutture IT on-premise, poiché, in caso di malfunzionamento, è comunque possibile accedere ai file offline recandosi fisicamente presso il server.
• Costi (forse) inferiori. Con un server dedicato, puoi decidere cosa acquistare e quando farlo. Al contrario, con l’IT cloud sei vincolato a ciò che un fornitore decide di addebitarti per un servizio fondamentale. Inoltre, man mano che la tua azienda cresce, le economie di scala potrebbero giocare a tuo favore, rendendo potenzialmente i server locali più convenienti rispetto a quelli cloud.

Hosting su cloud: maggiore flessibilità, minore controllo

Il cloud computing e lo storage offrono la possibilità di archiviare ed elaborare i dati degli utenti in data center di terze parti. Inoltre, i server cloud possono essere configurati per garantire livelli di prestazioni, sicurezza e controllo simili a quelli di un server dedicato. Tuttavia, anziché essere ospitati su hardware fisico utilizzato esclusivamente dall’utente, i dati risiedono in un ambiente condiviso gestito dal proprio provider di hosting cloud.

Il vantaggio principale dei software e delle infrastrutture basati sul cloud è la praticità:

• La manutenzione del cloud è affare di qualcun altro. Con un cloud pubblico, la manutenzione dell’hardware è interamente a carico del fornitore del servizio. È il fornitore stesso che si occupa di configurare i nuovi server, sostituire i componenti difettosi e garantire il corretto funzionamento dei sistemi di sicurezza. Inoltre, le patch del sistema operativo vengono installate automaticamente, alleggerendo notevolmente il carico di lavoro del vostro reparto IT.
• Flessibilità. Un servizio cloud può espandersi o ridursi a seconda delle variazioni in tempo reale del carico di lavoro informatico. Ad esempio, se avete bisogno di un sito web solo per pochi mesi, potete configurarne uno rapidamente e disattivarlo in seguito, senza dover acquistare alcun hardware. Questa flessibilità significa anche che non dovrai sostenere costi per infrastrutture inutilizzate quando la domanda è bassa (ad esempio, fuori stagione). Pertanto, le aziende con carichi di lavoro variabili spesso trovano nei server cloud la soluzione ideale.
• Configurazione semplice. Iniziare a utilizzare una soluzione SaaS, come una piattaforma di automazione del marketing o un’applicazione per la condivisione di file, può essere semplice come compilare un modulo online. Si pensi invece all’acquisto di hardware, all’installazione di strumenti di gestione dei progetti e alla manutenzione generale in loco.

Preoccupazioni relative alla sicurezza del cloud pubblico

Se utilizzi un server dedicato, spetta a te adottare le misure di sicurezza. Tuttavia, se i tuoi dati (o parte di essi) sono archiviati nel cloud, la responsabilità è condivisa tra te e il fornitore di servizi cloud. Indubbiamente, questi ultimi devono garantire che la propria infrastruttura sia sicura e che i dati e le applicazioni dei propri clienti siano protetti. Questo può rappresentare un fattore determinante per i settori soggetti a rigide normative che trattano informazioni altamente sensibili, come la sanità, la finanza e gli appalti militari.

In genere, i fornitori di servizi di archiviazione cloud commerciali crittografano i dati di ciascun utente con una chiave di crittografia univoca, ma conservano la chiave presso di sé. Si tratta di una soluzione molto più comoda per i fornitori, ma anche meno sicura. Proprio come le chiavi tradizionali, se le si affida a qualcun altro, potrebbero essere rubate o utilizzate in modo improprio senza che se ne sia nemmeno a conoscenza. In realtà, l’elenco delle minacce alla sicurezza del cloud, sia interne che esterne, non è mai stato così lungo.

Violazioni dei dati

Una violazione dei dati potrebbe essere l’obiettivo principale di un attacco mirato o semplicemente il risultato di un errore umano, di vulnerabilità delle applicazioni o di pratiche di sicurezza inadeguate. Può riguardare qualsiasi tipo di informazione non destinata alla divulgazione pubblica, tra cui informazioni sanitarie personali, dati finanziari, informazioni di identificazione personale, segreti commerciali e proprietà intellettuale. Il rischio di violazione dei dati non è esclusivo del cloud computing, ma figura costantemente tra le principali preoccupazioni dei clienti del cloud.

Vulnerabilità del sistema

Al fine di ridurre i costi e mantenere l’efficienza, i fornitori di servizi cloud spesso memorizzano i dati di più clienti sullo stesso server. Di conseguenza, esiste la possibilità che i dati privati di un utente possano essere visualizzati da altri utenti – e forse anche dai concorrenti. Per evitare ciò, i fornitori di servizi cloud dovrebbero garantire un adeguato isolamento dei dati. Ciononostante, la condivisione di memoria e risorse crea una nuova superficie di attacco.

Un’altra potenziale vulnerabilità è rappresentata dall’ampio ricorso alla virtualizzazione. La virtualizzazione modifica il modo in cui il software interagisce con l’hardware creando un livello aggiuntivo – la virtualizzazione stessa – che a sua volta deve essere configurato e protetto in modo adeguato.

Dipendenti malintenzionati

Un insider malintenzionato, come ad esempio un amministratore di sistema, può accedere a informazioni sensibili che, a loro volta, consentono l’accesso a sistemi critici e, in ultima analisi, ai dati. Le aziende che dipendono totalmente dai fornitori di servizi cloud per la sicurezza sono esposte a un rischio maggiore. Sebbene esistano misure per contrastare questa minaccia (ad esempio, i controlli sui precedenti penali), è probabile che essa rimanga sempre presente.

Perdita di dati

Se si archiviano i dati nel cloud, questi possono andare persi per motivi diversi dagli attacchi dolosi. Ad esempio, potrebbero essere cancellati accidentalmente dal fornitore del servizio cloud. Potrebbero inoltre andare persi definitivamente in seguito a una catastrofe naturale, come un incendio o un terremoto, a meno che non si provveda a eseguire un backup, sia da parte propria che da parte del fornitore.

Attacchi DoS

Gli attacchi Denial-of-service (DoS) sono progettati per impedire agli utenti di accedere ai propri dati o alle proprie applicazioni nel cloud. Costringendo il servizio cloud preso di mira a consumare enormi quantità di risorse di sistema limitate, quali la potenza di elaborazione o la larghezza di banda di rete, gli aggressori possono causare un rallentamento del sistema e impedire a tutti gli utenti di accedere ai servizi.

E la sicurezza del cloud privato?

Il cloud privato, noto anche come cloud interno o aziendale, è un modello di cloud computing che si svolge all’interno di un’infrastruttura privata (ad esempio, la rete intranet di un’azienda o un data center in hosting) ad uso esclusivo di una singola organizzazione.

In termini di sicurezza, il cloud privato è generalmente considerato un’opzione migliore rispetto al cloud pubblico. Il motivo è semplice: poiché i cloud privati hanno un unico proprietario con diritti di accesso, consentono livelli di controllo sui dati molto più elevati, pur offrendo alcuni vantaggi tipici del cloud, come la scalabilità o l’esecuzione di macchine virtuali.

Tuttavia, un cloud privato può risultare ancora meno sicuro di un cloud pubblico per diversi motivi:

• È importante rendersi conto che un cloud privato utilizza la stessa infrastruttura, o una molto simile, di un cloud pubblico, dall’hardware al software di virtualizzazione. Di conseguenza, entrambi i modelli presentano molte delle stesse problematiche di sicurezza. Tuttavia, i fornitori di cloud pubblico vantano anche anni di esperienza pratica nel garantire la sicurezza della propria infrastruttura. Il vostro personale IT possiede lo stesso livello di competenza? È in grado di stare al passo con tutte le ultime tipologie di malware e attacchi alla sicurezza?
• A differenza dei cloud pubblici, molte aziende che utilizzano cloud privati spesso impiegano tecnologie obsolete. Inoltre, tendono a rimandare ogni anno gli investimenti necessari per aggiornamenti significativi di hardware e software. Tuttavia, se le vostre risorse sono sufficienti solo a proteggervi dalle minacce attuali, vi ritroverete sicuramente esposti nel caso in cui in futuro si verifichino attacchi più sofisticati.

Problemi di sicurezza nel cloud ibrido

Il cloud ibrido è probabilmente il modello di cloud computing più sofisticato, che prevede l’utilizzo combinato di servizi cloud privati e pubblici, con un coordinamento tra le due piattaforme. Tra gli altri vantaggi, questo modello consente alle aziende di creare un’infrastruttura IT interna per i carichi di lavoro informatici quotidiani. Inoltre, permette di ricorrere a risorse aggiuntive provenienti da cloud pubblici o privati in caso di picchi nella domanda di elaborazione.

La sicurezza in un cloud ibrido è senza dubbio più complessa rispetto a qualsiasi altro modello di cloud. Quando i carichi di lavoro passano dal cloud privato a quello pubblico, si verifica un inevitabile passaggio dai sistemi di sicurezza interni a quelli forniti dal cloud pubblico. Durante questa transizione, mentre i dati e le applicazioni migrano da un sistema all’altro, sussiste un rischio significativo di una “lacuna” di sicurezza che può essere sfruttata. Non si tratta di un problema facile da risolvere.

L'anello più debole

In generale, qualsiasi modello di hosting in cui le risorse informatiche – sia hardware che software – siano dedicate esclusivamente a un’unica organizzazione (ad esempio, un server in loco o un cloud privato in hosting) garantisce il massimo livello di sicurezza. Innanzitutto, i dati vengono elaborati e archiviati all’interno della vostra organizzazione in ogni momento; nessuna terza parte vi ha accesso. In secondo luogo, è molto più facile soddisfare gli standard di conformità in materia di sicurezza informatica (anche in questo caso, poiché non sono coinvolte terze parti).

Pertanto, un ambiente dedicato rappresenta solitamente una scelta più sicura per le agenzie governative, gli istituti finanziari e altre organizzazioni di medie e grandi dimensioni che necessitano di un controllo diretto sui propri dati.

Tuttavia, la maggior parte degli esperti di sicurezza concorda sul fatto che non importa dove si trovino i dati se non si adottano adeguate misure di sicurezza. Altri aspetti da considerare:

• Che si tratti di un ambiente on-premises o meno, sono ormai pochissimi i casi in cui i dati non siano accessibili da Internet.
• Anche i sistemi più sicuri sono destinati a fallire in presenza di un errore umano.

Quindi, in definitiva, la sicurezza dei vostri dati dipende esclusivamente dalle vostre politiche e dall’affidabilità dei vostri dipendenti. Detto questo, se state cercando la massima sicurezza nella gestione dei documenti e delle e-mail in SharePoint, abbiamo sicuramente i prodotti che fanno al caso vostro. JungleDocs e JungleMail sono progettate per funzionare integrandosi con la vostra istanza locale di SharePoint come applicazioni interne 100%. Ciò significa che non sono previste chiamate a servizi web esterni né l’utilizzo di archivi dati esterni di alcun tipo. Provatele e fateci sapere cosa ne pensate!