7 passi per entrare in sicurezza nel cloud

Tuttavia, un approccio pragmatico e incentrato sui dati può rendere il percorso verso il cloud chiaramente percorribile. Di seguito è riportato un quadro di riferimento in 7 fasi per un programma efficace di sicurezza del cloud:

1. Proteggere gli endpoint che hanno accesso alle applicazioni cloud: Le applicazioni cloud sono al di fuori dell'ambiente IT di un'azienda e quindi della protezione offerta da molte tecnologie di sicurezza di rete o perimetrali. Prima che le aziende utilizzino i servizi cloud, è importante proteggere i dispositivi utilizzati per accedere al cloud. Questi endpoint devono essere protetti da tecnologie di sicurezza come la prevenzione della perdita di dati (DLP) con controlli per l'esfiltrazione dei dati, la crittografia end-to-end e l'accesso sicuro. In questo modo si impedisce il caricamento non autorizzato di dati sensibili nel cloud e si garantisce che i dati siano crittografati prima del caricamento. I dati devono rimanere crittografati nel cloud ed essere decifrati solo una volta raggiunto il dispositivo di un utente autorizzato. Una volta che i dati entrano nel cloud, non sono più sotto il controllo diretto dell'organizzazione. Pertanto, la crittografia dei dati sensibili e la prevenzione del caricamento di alcuni tipi di dati sono fondamentali per proteggere le informazioni mission-critical dai criminali informatici.

   2. monitorare l'accesso ai dati e ai servizi del cloud: Anche la trasparenza dell'accesso e dell'uso dei dati è fondamentale per un'efficace sicurezza dei dati nel cloud. Oltre a proteggere gli endpoint utilizzati per accedere ai dati del cloud, le organizzazioni devono assicurarsi di avere visibilità su chi accede al cloud e su quali dati vengono caricati o scaricati. Questa visibilità aumenta l'efficacia dei controlli di sicurezza degli endpoint e consente al team di sicurezza di identificare e rispondere rapidamente a comportamenti rischiosi o sospetti relativi ai dati del cloud.

   3. utilizzo del cloudAPIper espandere la sicurezza dei dati: Se un'azienda consente l'uso di servizi di posta elettronica basati sul cloud o di servizi di archiviazione come Box o Dropbox, dovrebbe utilizzare le API dei fornitori per estendere le misure di sicurezza dei dati esistenti a queste piattaforme. Questo può ottimizzare la visibilità dell'accesso ai dati nel cloud e consentire un migliore controllo attraverso la crittografia o la gestione degli accessi ai dati nel cloud. Molti dispositivi di sicurezza di rete offrono integrazioni cloud tramite API. Le aziende dovrebbero quindi chiedere al proprio fornitore quali sono le piattaforme cloud con cui si integrano e sfruttare queste funzionalità, se disponibili.

   4. proteggere le applicazioni cloud: Oltre agli endpoint e alle reti, la sicurezza del cloud dipende anche dalla sicurezza delle applicazioni in esecuzione nel cloud. Troppo spesso la sicurezza passa in secondo piano durante lo sviluppo di applicazioni cloud, soprattutto nel caso di applicazioni cloud create da singoli sviluppatori o da piccoli team.

   Le aziende dovrebbero quindi testare le loro applicazioni cloud per verificare la presenza di vulnerabilità di sicurezza comunemente sfruttate e chiedere ai fornitori di applicazioni cloud di terze parti di condividere con loro i risultati dei test di sicurezza delle applicazioni (come l'analisi statica o dinamica o i test di penetrazione). Tutte le vulnerabilità scoperte durante il test delle app devono essere corrette in modo sicuro prima che le app vengano utilizzate.

   5. implementazione di politiche e controlli per BYODs: Se le aziende vogliono consentire l'accesso ai dati del cloud tramite i dispositivi mobili di proprietà dei dipendenti (laptop, smartphone o tablet), è indispensabile che creino prima una politica BYOD (bring your own device) e implementino controlli per imporre un accesso corretto ai dati da parte degli utenti BYOD. Le organizzazioni dovrebbero prendere in considerazione l'utilizzo dell'autenticazione a due fattori, della crittografia end-to-end e del software di gestione dei dispositivi mobili (MDM) per proteggere l'uso del BYOD nel cloud. L'autenticazione a due fattori aiuta a prevenire gli accessi non autorizzati, mentre la crittografia garantisce che i dati sensibili del cloud a cui accedono gli utenti BYOD siano visibili solo alle persone autorizzate. Il software di gestione dei dispositivi mobili è un'ottima ultima linea di difesa in caso di smarrimento o furto di un dispositivo, poiché l'MDM consente ai reparti IT di limitare l'accesso ai BYOD o di cancellare da remoto i dati sul dispositivo, se necessario.

   6. backup regolari dei dati del cloud: Poiché i provider e le applicazioni cloud sono sempre più bersaglio di attacchi informatici, le aziende devono prepararsi allo scenario peggiore: la perdita permanente dei dati basati sul cloud. Anche se questo non protegge da conseguenze come perdite finanziarie o sanzioni legali, l'esecuzione di backup regolari garantisce almeno il ripristino di qualsiasi dato critico perso in una violazione dei dati nel cloud, in un attacco ransomware o in un'infezione malware distruttiva.

   7. formazione sulla sicurezza per i dipendenti: Indipendentemente dalla sicurezza di endpoint, applicazioni e connessioni di rete, la loro sicurezza dipende anche dai dipendenti che li utilizzano. Le tattiche di social engineering, come lo spear phishing, rimangono tra i metodi più comuni, semplici e di successo utilizzati dai criminali informatici. Una formazione regolare è fondamentale per garantire che i dipendenti siano in grado di riconoscere efficacemente gli attacchi di social engineering e di costruire abitudini web sicure. Le aziende dovrebbero quindi condurre regolarmente attacchi di social engineering simulati per testare la capacità dei propri dipendenti di identificare ed eliminare le vulnerabilità.

   Grazie ai numerosi vantaggi, la migrazione al cloud continuerà ad aumentare in futuro, ma anche le minacce alla sicurezza. Tuttavia, con le misure di sicurezza sopra descritte, che consistono in tecnologie incentrate sui dati e best practice di sicurezza, le aziende possono proteggere efficacemente i loro dati nel cloud dagli aggressori.

Autore: Christoph M. Kumpa, Direttore DACH & EE di Digital Guardian