La sicurezza nel cloud comprende l’insieme di tecnologie, controlli, processi e policy che servono a proteggere i sistemi, i dati e l’infrastruttura basati sul cloud. Si tratta di una branca della sicurezza informatica e, più in generale, della sicurezza delle informazioni.
È una responsabilità condivisa tra voi e il vostro fornitore di servizi cloud. Implementate una strategia di sicurezza nel cloud per proteggere i vostri dati, rispettare la conformità normativa e proteggere la privacy dei vostri clienti. Questo a sua volta vi protegge dalle ramificazioni reputazionali, finanziarie e legali delle violazioni dei dati e dalla perdita stessa dei dati.
La sicurezza nel cloud è un requisito fondamentale per tutte le organizzazioni. Le ultime ricerche di (ISC)2 riportano che il 93% delle organizzazioni è moderatamente o estremamente preoccupato per la sicurezza nel cloud, e che un’organizzazione su quattro conferma di aver affrontato un incidente di sicurezza nel cloud negli ultimi 12 mesi.
In questo articolo, creeremo una guida completa alla sicurezza nel cloud. Esplorerete i rischi per la sicurezza derivanti dal passaggio al cloud, capirete perché è necessaria la sicurezza nel cloud e scoprirete le best practice per la sicurezza nel cloud. Tratteremo anche argomenti come la valutazione della sicurezza di un fornitore di servizi nel cloud e identificheremo le certificazioni e la formazione per migliorare la vostra sicurezza.
Cominciamo.
Come Funziona la Sicurezza nel Cloud?
La sicurezza nel cloud è una complessa interazione di tecnologie, controlli, processi e politiche. Una pratica altamente personalizzata in base alle esigenze uniche della vostra organizzazione.
È per questo che non esiste un’unica spiegazione che comprenda il “funzionamento” della sicurezza nel cloud.
Fortunatamente, esiste una serie di strategie e strumenti ampiamente consolidati che potete utilizzare per ottenere una solida configurazione della sicurezza nel cloud, tra cui:
Gestione dell’Identità e degli Accessi
Tutte le aziende dovrebbero avere un sistema di Identity and Access Management (IAM) per controllare l’accesso alle informazioni. Il vostro fornitore di cloud si adatterà direttamente al vostro IAM o offrirà il proprio sistema integrato. Uno IAM combina l’autenticazione multi-fattore e le politiche di accesso degli utenti, aiutandovi a controllare chi ha accesso alle vostre applicazioni e ai vostri dati, a cosa possono accedere e cosa possono fare con i vostri dati.
Sicurezza Fisica
La sicurezza fisica è un altro pilastro della sicurezza nel cloud. Si tratta di una combinazione di misure per prevenire l’accesso diretto e l’interruzione dell’hardware alloggiato nel datacenter del vostro fornitore di cloud. La sicurezza fisica comprende il controllo dell’accesso diretto con porte di sicurezza, alimentatori ininterrotti, TVCC, allarmi, filtraggio dell’aria e delle particelle, protezione antincendio e altro ancora.
Informazioni sulle Minacce, Monitoraggio e Prevenzione
Threat Intelligence, Intrusion Detection Systems (IDS) e Intrusion Prevention Systems (IPS) costituiscono la spina dorsale della sicurezza nel cloud. Gli strumenti di Threat Intelligence e IDS offrono funzionalità per identificare gli aggressori che stanno prendendo di mira i vostri sistemi o che costituiranno una minaccia futura. Gli strumenti IPS implementano funzionalità per mitigare un attacco e avvisare l’utente del suo verificarsi in modo da poter anche rispondere.
Crittografia
Utilizzando la tecnologia cloud, si inviano dati da e verso la piattaforma del fornitore di cloud, spesso memorizzandoli all’interno della loro infrastruttura. La crittografia è un altro livello di sicurezza nel cloud per proteggere le vostre risorse di dati, codificandole quando sono a riposo e in transito. Questo assicura che i dati siano quasi impossibili da decifrare senza una chiave di decodifica alla quale solo voi avete accesso.
Test di Vulnerabilità e Penetrazione del Cloud
Un’altra pratica per mantenere e migliorare la sicurezza del cloud è il test di vulnerabilità e di penetrazione. Queste pratiche implicano che voi o il vostro fornitore attacchiate la vostra infrastruttura cloud per identificare eventuali punti deboli o possibilità di sfruttamento. È quindi possibile implementare soluzioni per riparare queste vulnerabilità e migliorare la vostra posizione di sicurezza.
Micro-Segmentazione
La micro-segmentazione è sempre più comune nell’implementazione della sicurezza nel cloud. È la pratica di dividere l’implementazione del cloud in segmenti di sicurezza distinti, scendendo fino al livello del carico di lavoro individuale.
Isolando i singoli carichi di lavoro, è possibile applicare politiche di sicurezza flessibili per ridurre al minimo i danni che un aggressore potrebbe causare, nel caso in cui ottenga l’accesso.
Firewall di Nuova Generazione
I firewall di nuova generazione sono un altro pezzo del puzzle della sicurezza per il cloud. Proteggono i vostri carichi di lavoro utilizzando le funzionalità firewall tradizionali e le funzioni avanzate più recenti. La protezione del firewall tradizionale include il filtraggio dei pacchetti, l’ispezione dello stato, il proxying, il blocco dell’IP, il blocco dei nomi di dominio e il blocco delle porte.
I firewall di nuova generazione aggiungono un sistema di prevenzione delle intrusioni, l’ispezione profonda dei pacchetti, il controllo delle applicazioni e l’analisi del traffico criptato per fornire un rilevamento e una prevenzione completa delle minacce.
Qui a Kinsta proteggiamo tutti i siti web dietro il firewall della Google Cloud Platform (GCP). Offre una protezione all’avanguardia e la possibilità di integrarsi in modo più stretto con altre soluzioni di sicurezza GCP.
7 Rischi per la Sicurezza del Cloud Computing
Che si operi o meno nel cloud, la sicurezza è una preoccupazione per tutte le aziende. Dovrete affrontare rischi come il denial of service, il malware, una SQL injection, la violazione o la perdita di dati. Tutto ciò può avere un impatto significativo sulla reputazione e sui profitti della vostra azienda.
Quando passate al cloud, state introducendo una nuova serie di rischi e cambiando la natura di altri. Questo non significa che il cloud computing non sia sicuro. Infatti, molti fornitori di cloud computing introducono l’accesso a strumenti di sicurezza altamente sofisticati e a risorse a cui altrimenti non si potrebbe accedere.
Significa semplicemente che è necessario essere consapevoli del cambiamento dei rischi per attenuarli. Diamo quindi un’occhiata ai rischi unici per la sicurezza del cloud computing.
1. Perdita di Visibilità
La maggior parte delle aziende accederanno a una serie di servizi cloud attraverso molteplici dispositivi, reparti e aree geografiche. Questo tipo di complessità in una configurazione di cloud computing—senza gli strumenti appropriati sul posto—può causare la perdita di visibilità dell’accesso alla vostra infrastruttura.
Se non attuate i processi corretti, potreste perdere di vista chi sta utilizzando i servizi cloud, inclusi i dati a cui accedono, quelli che caricano e che scaricano.
Se non potete vederlo, non potete proteggerlo. È così che aumenta il rischio di violazione dei dati e di perdita di dati.
2. Violazioni della Conformità
Con l’aumento del controllo normativo, è probabile che dobbiate attenervi a una serie di rigorosi requisiti di conformità. Quando si passa al cloud, state introducendo il rischio di violazioni della conformità, se non state attenti.
Molte di queste normative richiedono alla vostra azienda di sapere dove si trovano i vostri dati, chi vi ha accesso, come vengono trattati e come sono protetti. Altre normative richiedono che il vostro fornitore di cloud sia in possesso di determinate credenziali di conformità.
Un trasferimento incauto di dati al cloud, o il passaggio al provider sbagliato, può mettere la vostra organizzazione in uno stato di non conformità, introducendo potenzialmente gravi ripercussioni legali e finanziarie.
3. Mancanza di Strategia di Sicurezza e di Architettura del Cloud
Si tratta di un rischio per la sicurezza del cloud che si può facilmente evitare, ma molti non lo fanno. Nella fretta di migrare sistemi e dati nel cloud, molte organizzazioni diventano operative molto prima che i sistemi e le strategie di sicurezza siano in atto per proteggere la loro infrastruttura.
Qui a Kinsta, capiamo l’importanza di una mentalità orientata alla sicurezza quando si passa al cloud. Ecco perché Kinsta fornisce migrazioni gratuite di WordPress per garantire che il passaggio al cloud sia sicuro ed eviti tempi di inattività prolungati.
Assicuratevi di implementare una strategia di sicurezza e un’infrastruttura progettata per il cloud per andare live in linea con i vostri sistemi e dati.
4. Minacce Interne
I vostri dipendenti, appaltatori e partner commerciali di fiducia possono rappresentare un rischio per la sicurezza. Queste minacce interne non devono necessariamente avere intenzioni malevole per causare danni alla vostra azienda. La maggior parte degli incidenti dovuti ad insider, infatti, deriva da una mancanza di formazione o da una negligenza.
Anche se già ora state affrontando questo problema, spostarvi nel cloud cambia il rischio. State infatti consegnando il controllo dei vostri dati al vostro fornitore di servizi cloud e quindi state introducendo un nuovo livello di minaccia che proviene dai dipendenti del fornitore.
5. Violazioni Contrattuali
Le eventuali partnership contrattuali che avete in atto includeranno restrizioni su come vengono utilizzati i dati condivisi, su come vengono memorizzati e su chi è autorizzato ad accedervi. I vostri dipendenti che trasferiscono involontariamente dati soggetti a restrizioni in un servizio cloud senza autorizzazione potrebbero violare il contratto e portare a un’azione legale.
Assicuratevi di leggere i termini e le condizioni dei vostri fornitori di cloud. Anche se siete autorizzati a spostare i dati nel cloud, alcuni fornitori di servizi hanno il diritto di condividere i dati caricati nella loro infrastruttura. Per ignoranza, potreste inavvertitamente violare un accordo di non divulgazione.
6. Interfaccia Utente dell’Applicazione Non Sicura (API)
Quando si usano i sistemi in un’infrastruttura cloud, è possibile utilizzare un’API per implementarne il controllo. Qualsiasi API integrata nelle vostre applicazioni web o mobili può offrire l’accesso internamente da parte del personale o esternamente da parte dei consumatori.
Le API rivolte all’esterno, invece, possono introdurre un rischio per la sicurezza del cloud. Qualsiasi API esterna insicura è un gateway che offre l’accesso non autorizzato da parte di criminali informatici che cercano di rubare dati e manipolare i servizi.
L’esempio più eclatante di un’API esterna insicura è lo scandalo Cambridge Analytica su Facebook. L’API esterna insicura di Facebook ha permesso a Cambridge Analytica di accedere in profondità ai dati degli utenti di Facebook.
7. Errata Configurazione dei Servizi Cloud
L’errata configurazione dei servizi nel cloud è un altro potenziale rischio per la sicurezza del cloud. Con l’aumento della gamma e della complessità dei servizi, questo è un problema crescente. L’errata configurazione dei servizi nel cloud può causare l’esposizione pubblica, la manipolazione dei dati o addirittura la loro cancellazione.
Cause comuni sono, per esempio, il mantenimento delle impostazioni di sicurezza e di gestione dell’accesso predefinite per i dati altamente sensibili. Altre cause comuni sono la gestione degli accessi non corrispondenti che consentono l’accesso a persone non autorizzate e l’accesso ai dati manipolati in cui i dati riservati sono lasciati aperti senza bisogno di autorizzazione.
Perché È Necessaria la Sicurezza nel Cloud
L’adozione in massa della tecnologia cloud, combinata con un volume e una sofisticazione sempre maggiori delle minacce informatiche, è ciò che rende necessaria la sicurezza cloud. Riflettendo sui rischi per la sicurezza derivanti dall’adozione della tecnologia nel cloud, che abbiamo descritto in precedenza, la loro mancata attenuazione può avere implicazioni significative.
Ma non è tutto negativo: anche la sicurezza nel cloud può offrire vantaggi significativi. Scopriamo perché la sicurezza nel cloud è un requisito fondamentale.
Le Minacce alla Sicurezza Informatica Continuano ad Aumentare
Una forza trainante per le pratiche sicure del cloud è la minaccia sempre crescente della criminalità informatica, sia in termini di volume che di sofisticazione. Per quantificare la minaccia, un Cloud Security Report di (ISC)2 ha rilevato che il 28% delle aziende ha subito un incidente di sicurezza nel cloud nel 2019. Il governo del Regno Unito ha inoltre segnalato che il 32% delle aziende del Regno Unito ha subito un attacco ai sistemi negli ultimi 12 mesi.
Prevenire la Violazione e la Perdita di Dati
Una conseguenza di queste maggiori minacce informatiche è l’accelerazione della frequenza e del volume delle violazioni e della perdita di dati. Solo nei primi 6 mesi del 2019, l’Emerging Threat Report di Norton ha evidenziato che sono stati violati oltre 4 miliardi di record.
La perdita o la violazione di dati può avere notevoli implicazioni legali, finanziarie e di reputazione. Nel suo ultimo rapporto IBM stima ora il costo medio di una violazione dei dati a 3,92 milioni di dollari.
Evitare Violazioni della Conformità
Abbiamo già accennato a come la sicurezza nel cloud comporta il rischio di violazioni della conformità. Per dimostrare le implicazioni della non conformità, è sufficiente osservare l’autorità federale tedesca di vigilanza sulla privacy che ha da poco inflitto a 1&1 Telecommunications una multa di 9,55 milioni di euro per aver violato il Regolamento generale sulla protezione dei dati (GDPR) dell’UE.
Mantenere la Continuità Operativa
Una buona sicurezza nel cloud aiuta a mantenere la continuità aziendale e protegge da minacce come i DDoS attack (Denial-of-Service Attack). Le interruzioni non pianificate e i tempi di inattività del sistema interrompono la continuità aziendale e incidono sui profitti. Uno studio di ricerca di Gartner stima questo costo dei tempi di inattività a una media di 5600 dollari al minuto.
Vantaggi della Sicurezza nel Cloud
Al di là della protezione dalle minacce ed evitando le conseguenze di una cattiva prassi, la sicurezza nel cloud offre vantaggi che la rendono un requisito per le aziende. Questi includono:
1. Sicurezza Centralizzata
Allo stesso modo in cui il cloud computing centralizza le applicazioni e i dati, la sicurezza del cloud centralizza la protezione. Aiuta a migliorare la visibilità, a implementare i controlli e a proteggere meglio dagli attacchi. Inoltre, migliora la vostra continuità aziendale e il disaster recovery avendo tutto in un unico posto.
2. Costo Ridotto
Un fornitore di servizi cloud affidabile offrirà hardware e software integrati dedicati alla sicurezza delle vostre applicazioni e dei vostri dati 24 ore su 24. Questo elimina la necessità di un significativo investimento finanziario per la vostra configurazione.
3. Amministrazione Ridotta
Il passaggio al cloud introduce un modello di responsabilità condivisa per la sicurezza. Questo può fornire una significativa riduzione della quantità di tempo e di risorse investite nell’amministrazione della sicurezza. Il fornitore di servizi nel cloud si assumerà la responsabilità di proteggere la propria infrastruttura—e di conseguenza la vostra attività—attraverso lo storage, il calcolo, il networking e l’infrastruttura fisica.
4. Aumento dell’Affidabilità
Un fornitore leader di servizi cloud offrirà hardware e software di sicurezza cloud all’avanguardia su cui potete fare affidamento. Avrete accesso a un servizio continuo dove i vostri utenti potranno accedere in modo sicuro ai dati e alle applicazioni da qualsiasi luogo e su qualsiasi dispositivo.
Migliori Pratiche per la Sicurezza nel Cloud
Quando si spostano i sistemi nel cloud, molti processi di sicurezza e molte best practice rimangono invariate. Tuttavia, incontrerete una nuova serie di sfide che dovrete superare per mantenere la sicurezza dei vostri sistemi e dei vostri dati nel cloud.
Per aiutarvi in questa sfida, abbiamo compilato una serie di best practice di sicurezza per le implementazioni nel cloud.
Scegliere un Fornitore di Fiducia
Le fondamenta della best practice per la sicurezza nel cloud si basano sulla selezione di un fornitore di servizi affidabile. L’ideale è collaborare con un fornitore di servizi nel cloud che offra i migliori protocolli di sicurezza integrati e che sia conforme ai più alti livelli di best practice del settore.
Vi serve un fornitore di servizi che sappia mettere a vostra disposizione un mercato di partner e soluzioni per migliorare ulteriormente la sicurezza della vostra implementazione.
Il segno distintivo di un fornitore di fiducia si riflette nella gamma di conformità di sicurezza e nelle certificazioni di cui è in possesso. Qualcosa che ogni buon fornitore renderà disponibile al pubblico. Ad esempio, tutti i principali provider come Amazon Web Services, Alibaba Cloud, Google Cloud (che alimenta Kinsta) e Azure offrono un accesso trasparente dove è possibile verificare le loro conformità di sicurezza e le certificazioni.
Oltre a questo, ci sono molti fattori che spingono a scegliere un fornitore di fiducia. Di questo parleremo più avanti nell’articolo con una lista di controllo top 10 per valutare la sicurezza di qualsiasi fornitore di cloud.
Comprendere il Vostro Modello di Responsabilità Condivisa
Quando si collabora con un fornitore di servizi cloud e si spostano i sistemi e i dati nel cloud, si entra in una partnership di responsabilità condivisa per l’implementazione della sicurezza.
Una parte critica delle buone prassi consiste nel rivedere e comprendere la vostra responsabilità condivisa. Scoprire quali compiti di sicurezza rimarranno a voi e quali compiti saranno ora gestiti dal fornitore.
Si tratta di una scala scorrevole a seconda che si opti per Software as a Service (SaaS), Platform as a Service (PaaS), Infrastructure as a Service (IaaS) o in un data center on-premises.
I principali fornitori di servizi cloud come AWS, Azure, Google Cloud Platform e Alibaba Cloud pubblicano il cosiddetto modello di responsabilità condivisa per la sicurezza per garantire trasparenza e chiarezza. Assicuratevi di leggere il modello di responsabilità condivisa dei fornitori di servizi cloud.
Esaminate i Vostri Contratti con i Fornitori di Servizi Cloud e gli SLA
Forse non vi verrà in mente di rivedere i vostri contratti cloud e gli SLA come parte delle migliori pratiche di sicurezza, eppure dovreste farlo. Gli SLA e i contratti di servizio cloud sono solo una garanzia di servizio e di ricorso in caso di incidente.
I termini e le condizioni, gli allegati e le appendici contengono molte altre informazioni che possono avere un impatto sulla vostra sicurezza. Un contratto può fare la differenza tra il vostro fornitore di servizi cloud che è responsabile dei vostri dati e che li possiede.
Secondo il McAfee 2019 Cloud Adoption and Risk Report, il 62,7% dei fornitori di cloud non specifica che i dati dei clienti sono di proprietà del cliente. Questo crea un’area grigia legale in cui un provider potrebbe rivendicare la proprietà di tutti i dati caricati.
Verificate chi è il proprietario dei dati e cosa succede se interrompete i vostri servizi. Inoltre, cercate di capire se il fornitore è tenuto ad offrire visibilità su eventuali eventi e risposte di sicurezza.
Se non siete soddisfatti degli elementi del contratto, provate a negoziare. Se alcuni di essi non sono negoziabili, è necessario determinare se l’accordo comporta un rischio accettabile per l’azienda. In caso contrario, dovrete cercare opzioni alternative per mitigare il rischio attraverso la crittografia, il monitoraggio o anche un fornitore alternativo.
Istrure gliUtenti
I vostri utenti sono la prima linea di difesa nel cloud computing sicuro. La loro conoscenza e l’applicazione delle pratiche di sicurezza possono fare la differenza tra la protezione del vostro sistema o l’apertura di una porta per gli attacchi informatici.
Come best practice, assicuratevi di formare tutti gli utenti—sia personale che stakeholder—che accedono ai vostri sistemi nei confronti delle pratiche cloud sicure. Rendeteli consapevoli di come individuare il malware, identificare le email di phishing e i rischi di pratiche insicure.
Per gli utenti più avanzati come gli amministratori, che sono direttamente coinvolti nell’implementazione della sicurezza nel cloud, prendete in considerazione la formazione e la certificazione specifica del settore. Più avanti troverete una serie di certificazioni e la formazione consigliate per la sicurezza nel cloud.
Controllare l’Accesso degli Utenti
L’implementazione di uno stretto controllo dell’accesso degli utenti tramite policy è un’altra best practice per la sicurezza nel cloud e aiuta a gestire gli utenti che tentano di accedere ai vostri servizi.
Dovreste partire da un punto di “fiducia zero”, consentendo agli utenti l’accesso solo ai sistemi e ai dati di cui hanno bisogno, niente di più. Per evitare complessità nell’implementazione delle politiche, create gruppi ben definiti con ruoli assegnati per garantire l’accesso solo alle risorse scelte. È quindi possibile aggiungere gli utenti direttamente a dei gruppi, invece di personalizzare l’accesso per ogni singolo utente.
Proteggere gli Endpoint degli Utenti
Un altro elemento della best practice per la sicurezza nel cloud è la protezione degli endpoint degli utenti. La maggior parte degli utenti accederà ai vostri servizi cloud attraverso i browser web. È quindi fondamentale introdurre una sicurezza avanzata sul lato client per mantenere i browser dei vostri utenti aggiornati e protetti dagli exploit.
Dovreste anche considerare l’implementazione di una soluzione di sicurezza degli endpoint per proteggere i dispositivi degli utenti finali. Questa è una pratica vitale ora che è esploso l’uso dei dispositivi mobili e del lavoro da remoto, dove gli utenti accedono sempre più spesso ai servizi cloud attraverso dispositivi non di proprietà dell’azienda.
Cercate una soluzione che includa firewall, antivirus e strumenti di sicurezza Internet, sicurezza dei dispositivi mobili e strumenti di rilevamento delle intrusioni.
Mantenere la Visibilità dei Vostri Servizi Cloud
L’utilizzo dei servizi cloud può essere vario e fugace. Molte organizzazioni utilizzano più servizi cloud in una serie di provider e aree geografiche. Le ricerche suggeriscono che le risorse cloud hanno una durata di vita media di 2 ore.
Questo tipo di comportamento crea dei punti ciechi nel vostro ambiente di cloud. Se non potete vederlo, non potete metterlo al sicuro.
Assicuratevi di implementare una soluzione di sicurezza nel cloud che offra visibilità all’intero ecosistema. Potrete quindi monitorare e proteggere l’utilizzo del cloud in tutte le vostre risorse, progetti e regioni disparate attraverso un unico portale. Questa visibilità vi aiuterà a implementare politiche di sicurezza granulari e a mitigare un’ampia gamma di rischi.
Implementare la Crittografia
La crittografia dei dati è una best practice di sicurezza indipendentemente dalla posizione, fondamentale una volta che ci si sposta nel cloud. Utilizzando i servizi nel cloud, esponete i vostri dati a un rischio maggiore memorizzandoli su una piattaforma di terze parti e inviandoli avanti e indietro tra la vostra rete e il servizio nel cloud.
Assicuratevi di implementare i massimi livelli di crittografia per i dati sia in transito che a riposo. Dovreste anche considerare la possibilità di utilizzare le vostre soluzioni di crittografia prima di caricare i dati nel cloud, utilizzando le vostre chiavi di crittografia per mantenere il pieno controllo.
Un fornitore di cloud potrebbe offrire servizi di crittografia integrati per proteggere i vostri dati da terzi, ma consente loro di accedere alle vostre chiavi di crittografia.
Kinsta adotta un approccio completamente criptato per proteggere ulteriormente le sue soluzioni di hosting sicuro. Ciò significa che non supportiamo connessioni FTP, ma solo connessioni criptate SFTP e SSH (ecco la differenza tra FTP e SFTP).
Implementare una Forte Politica di Sicurezza delle Password
Una forte politica di sicurezza delle password è la migliore prassi, indipendentemente dal servizio a cui si accede. L’implementazione di una politica più forte possibile è un elemento importante per prevenire l’accesso non autorizzato.
Come requisito minimo, tutte le password devono richiedere una lettera maiuscola, una lettera minuscola, un numero, un simbolo e un minimo di 14 caratteri. Fate sì che gli utenti aggiornino la loro password ogni 90 giorni e che la impostino in modo che il sistema ricordi le ultime 24 password.
Una politica delle password come questa impedirà agli utenti di creare semplici password attraverso più dispositivi, e di difendersi dalla maggior parte degli attacchi di forza bruta.
Come ulteriore livello di best practice di sicurezza e protezione, si dovrebbe anche implementare l’autenticazione multi-fattore. Richiedere all’utente di aggiungere due o più elementi di prova per autenticare la propria identità.
Utilizzare un Cloud Access Security Broker (CASB)
L’uso di un CASB sta rapidamente diventando uno strumento centrale per implementare le migliori pratiche di sicurezza del cloud. Si tratta di un software che si posiziona tra voi e i vostri fornitori di servizi nel cloud per estendere i vostri controlli di sicurezza nel cloud.
Un CASB offre un sofisticato set di strumenti di sicurezza nel cloud per fornire visibilità al vostro ecosistema cloud, applicare le policy di sicurezza dei dati, implementare l’identificazione e la protezione dalle minacce e mantenere la conformità.
Più avanti nella guida potete scoprire come funziona un CASB, incluso un elenco dei 5 principali fornitori del servizio.
Top 10 della Checklist di Sicurezza per i Clienti Cloud
Quando si passa al cloud e si seleziona un fornitore di servizi, uno dei fattori più importanti da considerare è la sicurezza, perché condividerete e/o memorizzerete i dati aziendali con il fornitore di servizi scelto.
Dovete essere sicuri che i vostri dati siano al sicuro. Ci sono innumerevoli fattori di sicurezza da considerare, dalla responsabilità condivisa al fatto che gli standard di sicurezza del fornitore siano all’altezza. Questo può essere un processo scoraggiante, soprattutto se non siete esperti di sicurezza.
Per aiutarvi abbiamo compilato una checklist con la top 10 degli aspetti della sicurezza da considerare quando valutate la scelta di un fornitore di servizi cloud.
1. Protezione dei Dati in Transito e dei Dati a Riposo (Data at Rest)
Quando si passa a un servizio cloud, un elemento chiave della sicurezza è la protezione dei dati in transito tra voi (l’utente finale) e il provider. Questa è una doppia responsabilità sia per voi che per il provider. Avrete bisogno di una protezione di rete per impedire l’intercettazione dei dati e di una cifratura che impedisca a un aggressore di leggere i dati in caso di intercettazione.
Cercate un fornitore di servizi che vi offra una serie di strumenti che vi aiutino a crittografare facilmente i vostri dati in transito e quelli a riposo. Ciò garantirà lo stesso livello di protezione per qualsiasi transito interno di dati all’interno del fornitore di servizi cloud, o il transito tra il fornitore di servizi cloud e altri servizi in cui le API potrebbero essere esposte.
2. Protezione degli Asset
Quando selezionate un fornitore di servizi cloud, è necessario comprendere il luogo fisico in cui i dati vengono memorizzati, elaborati e gestiti. Questo è particolarmente importante dopo l’implementazione di normative governative e industriali come il GDPR.
Per garantire che i vostri asset siano protetti, un buon fornitore avrà una protezione fisica avanzata nel suo datacenter per difendere i vostri dati da accessi non autorizzati. Si assicureranno inoltre che i vostri dati siano cancellati prima che le risorse siano riapprovvigionate o smaltite per evitare che cadano nelle mani sbagliate.
3. Visibilità e Controllo
Un fattore chiave per la sicurezza è la capacità di vedere e controllare i propri dati. Un buon fornitore di servizi vi offrirà una soluzione che fornisce una piena visibilità dei vostri dati e di chi vi sta accedendo, indipendentemente da dove si trova e da dove vi trovate voi.
Il vostro fornitore dovrebbe offrire il monitoraggio delle attività in modo che possiate scoprire le modifiche alla configurazione e alla sicurezza in tutto il vostro ecosistema, oltre che supportare la conformità con l’integrazione di soluzioni nuove ed esistenti.
4. Mercato di Sicurezza Affidabile e Rete di Partner
Per garantire l’implementazione del cloud è necessaria più di una soluzione o di un partner. Un buon fornitore di servizi cloud vi renderà facile trovare e connettervi con diversi partner e soluzioni attraverso un mercato.
Cercate un provider con un marketplace che offra una rete curata di partner di fiducia con una comprovata esperienza nel campo della sicurezza. Il marketplace dovrebbe anche offrire soluzioni di sicurezza che forniscano una distribuzione con un solo clic e che siano complementari nella protezione dei vostri dati, sia che operiate in una distribuzione pubblica, privata o ibrida in cloud.
5. Gestione Sicura degli Utenti
Un buon fornitore di servizi cloud offrirà strumenti che consentono una gestione sicura degli utenti. Questo aiuterà a prevenire l’accesso non autorizzato alle interfacce di gestione e alle procedure per garantire che le applicazioni, i dati e le risorse non siano compromesse.
Il fornitore di cloud dovrebbe anche offrire funzionalità per implementare protocolli di sicurezza che separino gli utenti e impediscano a qualsiasi utente malintenzionato (o compromesso) di influenzare i servizi e i dati di un altro.
6. Conformità e Integrazione della Sicurezza
Quando si considera un fornitore di servizi nel cloud, sicurezza e conformità vanno di pari passo: i requisiti di conformità globale che vengono convalidati da un’organizzazione di terze parti devono sempre essere considerati. L’ideale sarebbe servirsi di un fornitore di servizi nel cloud che segua le best practice del settore per la sicurezza nel cloud e che possieda idealmente una certificazione riconosciuta.
Il programma STAR (Security, Trust and Assurance Registry) della Cloud Security Alliance è un buon indicatore. Inoltre, se operate in un settore altamente regolamentato, dove potrebbero applicarsi HIPPA, PCI-DSS e GDPR, dovrete identificare un fornitore con certificazione specifica per il settore.
Per garantire che i vostri sforzi di conformità siano sia economici che efficienti, il fornitore di servizi cloud dovrebbe offrirvi la possibilità di ereditare i propri controlli di sicurezza nei vostri programmi di conformità e certificazione.
7. Identità e Autenticazione
Il vostro fornitore di servizi cloud dovrebbe garantire che l’accesso a qualsiasi interfaccia di servizio sia limitato ai soli individui autorizzati e autenticati.
Quando cercate un provider, dovreste optare per un servizio che offra funzionalità di identità e di autenticazione, tra cui nome utente e password, autenticazione a due fattori, certificati client TLS e federazione di identità con il provider di identità esistente.
Date importanza anche alla possibilità di limitare l’accesso a una linea dedicata, a una rete aziendale o a una rete comunitaria. Un buon provider fornisce l’autenticazione solo attraverso canali sicuri come HTTPS per evitare le intercettazioni.
Evitate servizi con pratiche di autenticazione deboli perché esporrebbe i vostri sistemi ad accessi non autorizzati che potrebbero portare al furto di dati, a modifiche del vostro servizio o al rifiuto del servizio. Evitate anche l’autenticazione via email, HTTP o telefono.
Questi metodi sono estremamente vulnerabili all’ingegneria sociale e all’intercettazione di identità e credenziali di autenticazione.
8. Sicurezza Operativa
Quando selezionate un servizio cloud, cercate un provider che implementi una forte sicurezza operativa per rilevare e prevenire gli attacchi. Questo dovrebbe coprire quattro elementi fondamentali:
Configurazione e Gestione delle Modifiche
Vi serve un fornitore che offra trasparenza sui beni che compongono il servizio, comprese eventuali configurazioni o dipendenze. Dovrebbe informarvi di eventuali modifiche al servizio che potrebbero influire sulla sicurezza per evitare le vulnerabilità.
Gestione delle Vulnerabilità
Il vostro fornitore dovrebbe disporre di un processo di gestione delle vulnerabilità per rilevare e mitigare eventuali nuove minacce al loro servizio. Dovreste essere sempre informati su queste minacce, sulla loro gravità e sulla tempistica prevista per la loro mitigazione nonché sulla loro risoluzione.
Monitoraggio di Protezione
Ogni fornitore degno di questo nome avrà a disposizione strumenti di monitoraggio avanzati per identificare qualsiasi attacco, uso improprio o malfunzionamento del servizio. Adotteranno azioni rapide e risolutive per affrontare qualsiasi incidente, tenendovi sempre informati dell’esito.
Noi di Kinsta siamo orgogliosi di offrire i più elevati standard di sicurezza operativa per le soluzioni di hosting. Ciò include l’implementazione degli ultimi aggiornamenti di sicurezza, il monitoraggio continuo dei tempi di attività, i backup automatici e le misure attive e passive per fermare qualsiasi attacco.
In conclusione: il vostro sito è monitorato e protetto 24 ore su 24, 7 giorni su 7.
Gestione degli Incidenti
Il vostro fornitore ideale dispone di un processo gestione degli incidenti pianificato in anticipo per fronteggiare le tipologie di attacco più comuni. Saranno pronti a mettere in atto questo processo in risposta a qualsiasi attacco.
Dovrete anche avere a disposizione un chiaro percorso di contatto con il fornitore per segnalare eventuali incidenti, con una tempistica e un formato accettabili.
9. Sicurezza del Personale
Avete bisogno di un fornitore di servizi cloud con un personale di cui potete fidarvi, perché avrà accesso ai vostri sistemi e ai vostri dati. Il fornitore di servizi cloud da voi scelto seguirà un processo di screening di sicurezza rigoroso e trasparente.
Il fornitore dovrebbe essere in grado di verificare l’identità del suo personale, i permessi di lavoro e di controllare eventuali condanne penali pregresse. L’ideale sarebbe che si conformino agli standard di screening stabiliti a livello locale, come la BS 7858:2019 per il Regno Unito o la compilazione del modulo I-9 negli Stati Uniti.
Oltre allo screening, dovreste desiderare anche un fornitore di servizi che si assicuri che il suo personale comprenda le proprie responsabilità in materia di sicurezza e che si sottoponga ad una formazione regolare. Il fornitore dovrebbe anche avere una politica per ridurre al minimo il numero di persone che hanno accesso ai vostri servizi e che possono influire su di essi.
10. Uso Sicuro del Servizio
È possibile incappare nella scelta di un fornitore di servizi cloud con una sicurezza all’avanguardia, ma con un cattivo utilizzo del servizio. È quindi importante capire quali sono le responsabilità in materia di sicurezza quando si utilizza il servizio.
Il vostro livello di responsabilità sarà influenzato dal vostro modello di implementazione del cloud, dal modo in cui utilizzate i servizi e dalle caratteristiche integrate di ogni singolo servizio.
Ad esempio, se gestite una IaaS, avrete importanti responsabilità in materia di sicurezza come distribuire un’istanza di calcolo, la responsabilità di installare un sistema operativo moderno, di configurare la sicurezza e di garantire la manutenzione e le patch continue. Lo stesso vale per qualsiasi applicazione da voi distribuita su quell’istanza.
Per questo assicuratevi di comprendere i requisiti di sicurezza del servizio scelto e le opzioni di configurazione di sicurezza disponibili. Assicuratevi anche di educare il vostro personale all’uso sicuro dei servizi scelti.
Cos’È la Cloud Security Alliance?
Quando studiamo al settore del cloud computing, vediamo che si tratta di un mercato eterogeneo senza un organo di governo centrale a cui le aziende possono rivolgersi per avere una guida. Questo può essere frustrante, soprattutto quando si affrontano sfide come la sicurezza del cloud.
Fortunatamente, al posto degli organi di governo, ci sono diverse organizzazioni che si dedicano al sostegno del settore. La Cloud Security Alliance (CSA) è una di queste.
La Cloud Security Alliance è un’organizzazione no-profit dedicata allo sviluppo e alla sensibilizzazione delle migliori pratiche per mantenere un ambiente di cloud computing sicuro.
Si tratta di un’organizzazione associativa che offre una guida alla sicurezza nel cloud specifica del settore sotto forma di formazione, ricerca, eventi e prodotti. Questa guida si avvale direttamente dell’esperienza combinata di professionisti del settore, associazioni, governi e membri individuali e aziendali della CSA.
Per darvi una migliore comprensione della Cloud Security Alliance, diamo un’occhiata più da vicino a come supportano il settore.
Iscrizione
La CSA è costruita con i suoi membri al centro. L’adesione alla CSA come membro apre una serie di vantaggi diversi a seconda che si tratti di un individuo, di un’impresa o di un fornitore di soluzioni.
Questi benefici rientrano in categorie simili, tra cui l’accesso alla loro rete di esperti, un posto nell’International Standardization Council, sconti sulla formazione e accesso ad eventi esclusivi e webinar.
Assicurazione
La CSA ha sviluppato uno dei più rinomati programmi di certificazione della sicurezza del cloud: il Security, Trust & Assurance Registry (STAR).
STAR è un programma di garanzia dei fornitori che assicura la trasparenza attraverso l’autovalutazione, la verifica da parte di terzi e il monitoraggio continuo rispetto agli standard. Il programma si articola su tre livelli, dimostrando che il titolare aderisce alle best practice e convalidando al contempo la sicurezza delle proprie offerte cloud.
Educazione
Per sostenere il continuo miglioramento della sicurezza nel cloud nel settore, la CSA offre una serie di servizi di formazione. È possibile perseguire una serie di certificazioni di sicurezza nel cloud sviluppate dalla CSA, accedere al loro centro di conoscenza e partecipare ai loro webinar ed eventi formativi regolarmente programmati.
Ricerca
La CSA continua a supportare il settore nello sviluppo e nell’innovazione delle migliori pratiche di cloud-security attraverso la sua continua ricerca. Questo processo è guidato dai loro gruppi di lavoro che ora coprono 30 domini di sicurezza nel cloud.
Fra le best practice più recenti e all’avanguardia ci sono la nascita di gruppi di lavoro nei settori del DevSecOps, dell’Internet of Things, dell’Intelligenza Artificiale e della Blockchain. La CSA pubblica continuamente le sue ricerche (con accesso gratuito) assicurando che il settore possa tenersi aggiornato e informato sulla natura sempre mutevole della sicurezza nel cloud.
Comunità
La CSA sostiene inoltre il settore continuando a mantenere e sviluppare la comunità della sicurezza nel cloud. Ha creato e mantiene un’ampia gamma di comunità che consentono alle menti di tutto il settore della sicurezza nel cloud di connettersi, condividere le conoscenze e innovare.
Queste comunità in crescita si presentano in molte forme. Ci sono ramificazioni della CSA a cui potete unirvi per entrare in contatto con i professionisti locali e i summit CSA dove le menti migliori condividono la loro esperienza con il pubblico. Esiste anche il blog della CSA che ospita una comunità di persone interessate che vogliono stare al passo con le sue pratiche.
Cos’È il Kaspersky Security Cloud?
Quando si parla di sicurezza nel cloud, è facile concentrarsi sulle imprese e dimenticare la necessità dei singoli consumatori.
Se accedete ai servizi cloud per uso personale, come foto, file e life admin, dovete pensare alla sicurezza dei vostri dati: Kaspersky Security Cloud è la nuova soluzione di sicurezza adattiva basata sul cloud di Kaspersky.
Combinando le migliori caratteristiche e applicazioni del software antivirus di Kaspersky Lab, potete approfittare di una protezione responsive per i dispositivi degli utenti contro le minacce digitali.
La piattaforma è stata progettata per i singoli utenti, non per le imprese.
Kaspersky Security Cloud protegge i dispositivi da malware e virus, aggiungendo funzionalità per adattare il modo in cui si utilizza ogni dispositivo in modo da fornire la massima protezione in ogni momento. Offre funzionalità che includono antivirus, anti-ransomware, sicurezza mobile, gestione delle password, VPN, parental control e una serie di strumenti per la privacy.
La piattaforma è disponibile su Windows, macOS, Android e iOS. Il piano Kaspersky Security Cloud Family offre protezione per un massimo di 20 dispositivi.
Funzionalità di Base di Kaspersky Security Cloud
Per aiutarvi a comprendere meglio l’offerta di Kaspersky Security Cloud, abbiamo dato un’occhiata più da vicino alle funzionalità principali della piattaforma, suddividendola in quattro sezioni:
Scansione
Questa è la funzionalità chiave da desiderare per qualsiasi soluzione di sicurezza: Kaspersky Security Cloud è in grado di analizzare i vostri dispositivi e rimuovere qualsiasi malware o virus trovato. È possibile scegliere tra una serie di opzioni di scansione tra cui i singoli file, la scansione rapida, l’intero sistema e la pianificazione.
Privacy
Potete proteggere la vostra privacy utilizzando le funzionalità integrate per controllare i vostri account online e assicurarvi che non vengano compromessi, bloccare l’accesso alla vostra webcam e bloccare il traffico del sito web per evitare che le vostre attività di navigazione vengano monitorate.
È possibile estendere la privacy scaricando le estensioni Kaspersky Secure Connection e Kaspersky Password Manager. Secure Connection cripta tutti i dati che inviate e ricevete nascondendo la vostra posizione, mentre Password Manager memorizza e protegge le vostre password.
Home Network
Home Network vi offre la visibilità di tutti i dispositivi che sono collegati alla vostra rete domestica e identificare quelli protetti da Kaspersky Security Cloud. La funzionalità consente di essere avvisati quando un nuovo dispositivo si connette e di bloccare anche i dispositivi sconosciuti.
HD Health
Utile ma semplice, la funzionalità HD Health vi dà una valutazione delle condizioni del disco rigido e della temperatura del disco. Fornisce informazioni sui tassi di errore, i cicli di accensione, le ore di accensione, il totale dei dati letti e il totale dei dati scritti.
Kaspersky Security Cloud è un ottimo esempio di come l’adozione dei servizi nel cloud abbia creato la necessità di nuove soluzioni di sicurezza.
Nella sezione successiva, esaminiamo un esempio simile nel mondo delle imprese con l’arrivo dei Cloud Access Security Broker.
Cos’è il Cloud Access Security Broker (CASB)?
Un Cloud Access Security Broker (CASB) è un software che si colloca tra voi, il consumatore di servizi cloud, e i vostri fornitori di servizi cloud. Una CASB estende i vostri controlli di sicurezza dalla vostra infrastruttura on-premises nel cloud. Contribuisce a far rispettare i criteri di sicurezza, conformità e governance per le vostre applicazioni nel cloud. In genere si trova in sede o in hosting nel cloud.
Un CASB vi aiuterà a difendervi dai rischi di sicurezza nel cloud di alto livello, a supportare il monitoraggio continuo e la mitigazione degli eventi ad alto rischio. Lo fa proteggendo i dati che si spostano tra il vostro ambiente on-premise e quello nel cloud utilizzando le policy di sicurezza della vostra organizzazione.
Un CASB vi proteggerà dai cyber attack grazie alla prevenzione del malware e proteggerà i vostri dati utilizzando una crittografia end-to-end che impedisce agli utenti esterni di decifrarne il contenuto.
Come Funziona una CASB?
Una CASB può essere implementata in tre modi distinti: come reverse proxy, forward proxy, o in una ‘modalità API’. Ognuno ha i suoi vantaggi e svantaggi, e molti esperti del settore raccomandano un’implementazione multimodale.
Diamo un’occhiata più da vicino alle diverse modalità di implementazione di un CASB:
Reverse Proxy
Un reverse proxy si posiziona di fronte al servizio cloud e fornisce funzionalità di sicurezza in linea inserendosi nel percorso del traffico di rete. La connessione del broker di reverse proxy viaggia da Internet verso il server dell’applicazione, nascondendo dietro di sé le informazioni provenienti dalla fonte originale.
Forward Proxy
Un forward proxy si trova di fronte all’utente, con il CASB che proxyizza il traffico verso più piattaforme cloud. La connessione del forward proxy si muove dalla vostra posizione, ovvero da dietro il vostro firewall, verso internet. Come il reverse proxy, fornisce anche funzionalità di sicurezza in linea.
Modalità API
A differenza delle distribuzioni di proxy, l’utilizzo dell’Application Program Interface (API) consente l’integrazione diretta del CASB e di un servizio cloud. Ciò consente di proteggere sia il traffico gestito che quello non gestito.
A seconda delle funzionalità API dei fornitori di servizi cloud, è possibile visualizzare l’attività, i contenuti e adottare misure di applicazione.
I pilastri della funzionalità nei CASB
Un CASB offre funzionalità che rientrano in quattro “pilastri”, tra cui:
1. Visibilità
Quando un’applicazione cloud si trova fuori dalla vista del vostro reparto IT, state creando informazioni che non sono controllate dai processi di governance, rischio e conformità della vostra azienda.
Un CASB offre la visibilità di tutte le applicazioni cloud e del loro utilizzo. Includendo informazioni vitali su chi sta utilizzando la piattaforma, il loro dipartimento, la loro posizione e i dispositivi utilizzati.
2. Sicurezza dei Dati
L’utilizzo di una piattaforma cloud aumenta il rischio di condividere inavvertitamente i dati con le persone sbagliate. Se utilizzate il cloud storage, un tipico strumento di prevenzione della perdita di dati (DLP) non sarà in grado di monitorare o controllare chi accede ai dati.
Un CASB vi aiuta ad applicare la sicurezza incentrata sui dati all’interno di una piattaforma cloud che combina la crittografia, la tokenizzazione, il controllo degli accessi e la gestione dei diritti di informazione.
3. Protezione dalle Minacce
Una delle minacce alla sicurezza più difficili da proteggere è il proprio personale. Anche gli ex dipendenti che sono stati estromessi dai sistemi principali della vostra organizzazione potrebbero ancora essere in grado di accedere alle applicazioni cloud contenenti informazioni sensibili per il vostro business.
I CASB consentono di rilevare e rispondere alle minacce di insider malintenzionati o negligenti, agli utenti privilegiati e agli account compromessi all’interno della vostra infrastruttura cloud.
4. Conformità
Quando i vostri dati vengono trasferiti nel cloud, dovrete assicurarvi di mantenere la sicurezza e la privacy dei dati per rispettare le normative governative e di settore. Un CASB farà questo per voi, identificando e applicando le politiche DLP sui dati sensibili nella vostra implementazione del cloud. Questo vi aiuta a mantenere la conformità alle normative, tra cui SOX e HIPAA.
Un CASB vi aiuterà anche a confrontare la vostra configurazione di sicurezza cloud con i requisiti normativi fondamentali come PCI DSS, NIST, CJIS, MAS e ISO 27001.
I 5 Migliori Cloud Access Security Brokers
La migrazione di massa dei servizi verso il cloud, unita alla necessità di implementare la sicurezza nel cloud a causa dei notevoli rischi di violazione e perdita di dati, ha creato un’esplosione nel mercato CASB.
Come tecnologia di nuova generazione, i CASB sono diventati un elemento essenziale della strategia di sicurezza del cloud. Secondo il rapporto “Magic Quadrant for Cloud Access Brokers” di Gartner, una grande impresa su cinque utilizza un CASB per proteggere o gestire i propri servizi nel cloud:
Gartner ha identificato cinque leader nel mercato CASB utilizzando il “Magic Quadrant”, fra i quali rientrano:
McAfee
McAfee è entrata nel mercato CASB nel gennaio 2018, con l’acquisizione di Skyhigh Networks. Ora conosciuta come MVISION Cloud, la piattaforma fornisce una copertura su tutti e quattro i pilastri CASB per un’ampia gamma di servizi cloud.
La piattaforma fornisce un motore DLP completo e offre controlli avanzati che includono la crittografia e la tokenizzazione di dati strutturati e non strutturati. Il CASB può essere implementato per l’ispezione API con funzionalità di reverse-proxy-mode e proxy forward.
McAfee ha anche messo a disposizione un’applicazione virtuale on-premises per chi ne ha bisogno.
Microsoft
L’offerta CASB di Microsoft si chiama Microsoft Cloud Application Security. La piattaforma supporta diverse modalità di distribuzione, tra cui reverse proxy e connettori API. Microsoft continua a sviluppare la soluzione CASB con una maggiore visibilità, analisi, controllo dei dati e funzionalità di automazione innovative.
Microsoft Cloud Application Security si integra anche nativamente con il crescente portafoglio di soluzioni Microsoft per la sicurezza e l’identità, tra cui Azure Active Directory e Microsoft Defender Advanced Threat Protection.
Ciò consente a Microsoft di offrire ai clienti una soluzione completamente integrata con tutte le piattaforme Microsoft e che viene distribuita in un solo clic.
Netskope
A differenza di molti attori dello spazio che si limitano ad acquisire fornitori di soluzioni CASB, Netskope rimane un’azienda indipendente. Questo fornitore è rinomato per l’eccellenza nella scoperta di applicazioni e nelle valutazioni di sicurezza SaaS.
Netskope supporta migliaia di servizi cloud attraverso le API pubblicate e la decodifica in linea di API non pubblicate. Il CASB offre DLP e identifica le minacce in tempo reale utilizzando la combined threat intelligence, l’analisi statica e dinamica e il rilevamento delle anomalie basato sull’apprendimento automatico.
Symantec
L’offerta CASB di Symantec si chiama CloudSOC, potenziata nel 2016 con l’acquisizione e l’integrazione dei prodotti Perspecsys ed Elastica di Blue Coat Systems.
CloudSOC offre DLP che utilizza la classificazione automatizzata dei dati e la supervisione multimodale utilizzando le API native del cloud, l’elaborazione del traffico in tempo reale e l’input da più feed di dati. È possibile identificare e annullare automaticamente le minacce dall’interno e dall’esterno dell’organizzazione con l’analisi avanzata del comportamento degli utenti (user behavior analytics o UBA).
Bitglass
Bitglass Cloud Security è indicato come un CASB di nuova generazione, progettato per integrarsi con qualsiasi applicazione, dispositivo o rete.
La piattaforma funziona in modo nativo dal cloud ed è rinomata come l’unico provider che mette in sicurezza i dati aziendali sui dispositivi mobili senza l’utilizzo di agenti o profili. Bitglass è salito alla ribalta con l’introduzione di un approccio “zero-day” incentrato sulla valutazione della fiducia (trust rating), sui livelli di fiducia (trust levels) e sulla crittografia a riposo.
Le 10 Migliori Certificazioni di Sicurezza Cloud nel 2024
Per proteggere con successo la vostra piattaforma cloud, avrete bisogno di competenze e conoscenze avanzate in materia di sicurezza cloud. Dovrete anche apprendere le specifiche tecniche della piattaforma in modo da poter configurare l’accesso, la sicurezza della rete e garantire la protezione dei dati all’interno del fornitore di cloud che avete scelto.
Fortunatamente, il mercato della formazione e della certificazione cloud continua ad evolversi e offre una serie di soluzioni. Ora è possibile scegliere tra un’ampia gamma di certificazioni specifiche per la piattaforma e indipendenti rispetto ai fornitori che vi permettono di sviluppare e dimostrare le competenze di cui avete bisogno. Sia che stiate cercando di sviluppare le conoscenze di base o di adattare il vostro set di competenze a un ruolo specifico, c’è una certificazione che fa per voi.
Per aiutarvi nella vostra ricerca, abbiamo compilato un elenco delle 10 migliori certificazioni di sicurezza cloud da ottenere nel 2024.
Possedere una di queste certificazioni non solo vi aiuterà a rendere più sicura la vostra implementazione del cloud, ma vi renderà anche più appetibili nel mercato del lavoro e faciliterà avanzi di carriera.
(ISC)2 – Certified Cloud Security Professional (CCSP)
Il CCSP è una certificazione di sicurezza nel cloud riconosciuta a livello globale, rivolta ai leader dell’IT e della sicurezza informatica.
Ottenere il CCSP dimostra che avete competenze e conoscenze tecniche avanzate per progettare, gestire e proteggere dati, applicazioni e infrastrutture nel cloud. Lo farete utilizzando le migliori pratiche, procedure e politiche sviluppate dagli esperti di sicurezza informatica di (ISC)2. Il CCSP è ideale se siete Enterprise Architect, Systems Engineer, Security Administrator, Architect, Engineer, o Manager..
Prima della formazione e di sostenere l’esame CCSP, è necessario soddisfare alcuni severi requisiti relativi all’esperienza. Avrete bisogno di cinque anni di esperienza a tempo pieno nel settore IT, di cui tre anni nella sicurezza informatica e un anno in uno o più dei sei domini del CCSP CBK. Potete sostituire i requisiti di esperienza che possedete con la credenziale CISSP (ISC)² altrettanto avanzata – chiamata anche “The World’s Premier Cyber Security Certification”.
Cloud Security Alliance – Certificate of Cloud Security Knowledge (CCSK)
Il certificato CCSK è una certificazione entry-level ampiamente riconosciuta nel settore della sicurezza nel cloud. È stata sviluppata dalla Cloud Security Alliance, un’organizzazione membro che contribuisce a garantire la sicurezza degli ambienti di cloud computing definendo e sensibilizzando le best practice del settore.
Avendo una certificazione CCSK dimostrerete di avere le competenze e le conoscenze di base necessarie per proteggere i dati nel cloud. Imparerete a costruire una linea di base di best practice di sicurezza mappate su una serie di responsabilità, dalla configurazione dei controlli tecnici di sicurezza alla governance del cloud.
Diventando specialisti certificati CCSK, guadagnerete anche l’esperienza richiesta come prerequisito se intendete passare alla più avanzata certificazione CCSP da (ISC)².
AWS Certified Security – Speciality
La credenziale AWS Certified Security – Speciality è l’ideale se desiderate sviluppare la vostra carriera lavorando con la piattaforma cloud AWS.
Ottenendo la sicurezza certificata AWS, convaliderete le vostre competenze attraverso le classificazioni dei dati, i metodi di crittografia, i protocolli Internet sicuri e i meccanismi AWS necessari per la loro implementazione.
Per ottenere la certificazione, potrete scegliere tra un percorso di apprendimento diversificato per plasmare le vostre conoscenze e competenze attraverso i fondamenti della sicurezza, l’architettura e l’ingegneria della sicurezza su AWS. Alla fine del percorso, avrete sviluppato il controllo e la fiducia necessari per eseguire in modo sicuro le applicazioni nel Cloud AWS.
Per conseguire questa certificazione, dovreste avere un ruolo nell’ambito della sicurezza e avere almeno due anni di esperienza pratica nella gestione di workload AWS.
Certificato Microsoft: Azure Security Engineer Associate
Recentemente, Microsoft ha trasformato i suoi percorsi di certificazione in percorsi basati sui ruoli. Ottenendo una delle loro certificazioni, dimostrate di avere le competenze e le conoscenze necessarie per svolgere un ruolo specifico.
Con la certificazione Azure Security Engineer Associate, quindi, dimostrate di avere le competenze per dichiararvi Security Engineer sulla piattaforma Azure Cloud. Ciò include la capacità di proteggere dati, applicazioni e reti in un ambiente cloud, implementare controlli di sicurezza e protezione dalle minacce, nonché gestire l’identità e l’accesso.
Non ci sono requisiti di competenze preliminari prima di provare l’AZ-500: Microsoft Azure Security Technologies.
Google Cloud – Professional Cloud Security Engineer
Ottenendo la credenziale di Professional Cloud Security Engineer di Google dimostrerete di poter progettare, sviluppare, implementare e gestire un’infrastruttura sicura sulla Google Cloud Platform. Lo farete utilizzando le tecnologie di sicurezza di Google allineate alle migliori pratiche di sicurezza e ai requisiti del settore.
Grazie alla certificazione Professional Cloud Security Engineer, dovrete imparare a configurare l’accesso, la sicurezza della rete e la protezione dei dati all’interno della Google Cloud Platform. Dovrete anche sviluppare le conoscenze per garantire la conformità e la gestione delle operazioni.
Come le certificazioni Azure e AWS, questa credenziale è ideale se si desidera sviluppare competenze di sicurezza cloud specifiche per la Google Cloud Platform. Farete avanzare la vostro carriera con questo fornitore leader nel settore del cloud.
Certificazione di Sicurezza Alibaba ACA Cloud Security
Questa certificazione ACA Cloud Security è la prima di un percorso di certificazione di Alibaba. Ottenere questa certificazione dimostrerà di avere le conoscenze di base per applicare i principi della sicurezza nel cloud in una distribuzione nel cloud Alibaba.
Svilupperete competenze fondamentali con Linux e le operazioni di rete. Imparerete anche a conoscere le soluzioni per la sicurezza di hosting, delle applicazioni, della rete e dei dati, il tutto all’interno della piattaforma Alibaba Cloud Platform. Coprirete diversi prodotti chiave per la sicurezza di Alibaba, tra cui Server Guard, WAF, Anit-DDoS basic e Pro.
Dopo aver ottenuto la certificazione di livello associato, è possibile perseguire la certificazione Alibaba ACP Cloud Security.
Certificazione di Sicurezza Alibaba ACA Cloud Security
La certificazione ACP Cloud Security è la seconda certificazione nel percorso di sicurezza del cloud Alibaba. Si tratta di una certificazione più avanzata rivolta ad architetti, sviluppatori e professionisti del settore Orientation&Mobility che lavorano con i prodotti di sicurezza Alibaba Cloud.
Sulla base delle competenze e delle conoscenze di base ottenute con la certificazione ACA Cloud Security, conoscerete i prodotti di base di Alibaba Cloud nel campo della sicurezza, del monitoraggio e della gestione.
Una volta ottenuta la certificazione di livello professionale, potete ottenere la certificazione Alibaba ACE Cloud Security. Per il momento la certificazione di livello esperto è ancora in fase di sviluppo e dovrebbe essere lanciata a breve.
Cloud Credential Council – Professional Cloud Security Manager Certification (PCS)
La credenziale CCC Professional Cloud Security Manager è una certificazione avanzata del Cloud Credential Council. È ideale se siete professionista dell’ambito governance e del rischio, specialisti della conformità dei revisori o del cloud computing.
Lavorando per la certificazione imparerete le competenze e le conoscenze per applicare le migliori pratiche in un ambiente cloud per la sicurezza e la governance. La certificazione tratterà argomenti chiave come la gestione dei servizi nel cloud, la governance e la strategia. Imparerete anche a progettare, implementare e migrare un servizio cloud in un ambiente sicuro.
Data la natura avanzata della certificazione, si raccomanda di possedere già il CCC Cloud Technology Associate e CCC Cloud Virtualization Essentials forniti da EXIN.
Oracle Cloud Platform Identity and Security Management 2019 Certified Associate
Il titolo della certificazione di sicurezza cloud di Oracle si spiega da solo: imparerete a conoscere la gestione dell’identità e della sicurezza sulla Oracle Cloud Platform. È l’ideale se siete professionisti della sicurezza che vogliono dimostrare la loro esperienza nell’implementazione di soluzioni nel cloud.
In fase di preparazione per la certificazione, coprirete le funzionalità di sicurezza di base della piattaforma cloud Oracle, costruirete conoscenze e competenze per implementare Oracle Identity Cloud Service, Oracle CASB Cloud Service, architettura e distribuzione dei servizi e Identity Security Operations Center Framework.
Il superamento dell’esame 1Z0-1070 vi certificherà come un Oracle Certified Associate (OCA), una credenziale riconosciuta a livello mondiale. Convaliderete le vostre capacità con il portafoglio Oracle Cloud Security, compresa la configurazione dei servizi. Prima di iniziare, avrete bisogno di un’esperienza pratica e aggiornata con le implementazioni di Cloud Security in un ruolo di amministratore.
SANS SEC524: Sicurezza nel Cloud e Fondamenti di Rischio
Il SEC524: Cloud Security and Risk Fundamentals è un corso, non una certificazione. L’ho incluso a prescindere, in quanto insegna competenze e conoscenze vitali non coperte dalle altre certificazioni elencate.
La cosa più importante è che imparerete a valutare la sicurezza dei diversi fornitori di cloud studiando i modelli di fornitura del cloud computing—SaaS, PaaS e IaaS—e i loro requisiti di sicurezza unici. Avrete modo di considerare, inoltre, la sicurezza quando si opera in uno scenario di cloud pubblico, privato o ibrido.
Terminato il corso, ne uscirete con una serie di abilità chiave. Come valutare i contratti cloud, adattare l’architettura di sicurezza, gli strumenti e i processi per l’utilizzo in ambienti cloud ed eseguire valutazioni delle vulnerabilità della vostra configurazione cloud.
Riepilogo
Passando al cloud, è necessario essere pronti a implementare una strategia di sicurezza completa del cloud fin dal primo giorno. Ciò inizia con l’identificazione corretta del fornitore o dei fornitori di servizi nel cloud e poi con l’implementazione di una strategia che combini gli strumenti, i processi, le policy e le best practice.
È fondamentale che comprendiate la vostra responsabilità condivisa e vi concentriate sulla conformità.
Quando si parla di sicurezza nel cloud, il vostro personale o quello del vostro fornitore di cloud sono tra gli aspetti più critici e spesso trascurati della difesa contro i criminali informatici.
È importante ricordare che il cloud computing non è meno sicuro dell’implementazione dei servizi in loco. Infatti, molti fornitori di cloud computing offrono hardware e software di sicurezza avanzati a cui altrimenti non avreste accesso.
Scegliere il fornitore giusto migliorerà la vostra posizione di sicurezza e ridurrà i rischi, indipendentemente da quelli introdotti dal cloud computing.
Edward Jones è un technology writer con 8 anni di esperienza nel settore. Ha pubblicato oltre 300 articoli con importanti pubblicazioni, tra cui Microsoft, IBM e Entrepreneur.
Lascia un commento