Sicurezza del cloud computing

La sicurezza del cloud computing o, più semplicemente, la sicurezza del cloud, si riferisce ad un'ampia gamma di politiche, tecnologie e controlli atti alla protezione di dati, applicazioni e infrastrutture associate di cloud computing. La sicurezza di questo ambito è un sotto-dominio della sicurezza informatica nel suo complesso.

Problemi di sicurezza associati al cloud

Il cloud offre agli utenti di archiviare ed elaborare i loro dati e processi in data center di terze parti. Le aziende utilizzando il cloud tramite differenti modelli di servizio (SaaS, PaaS, and IaaS) e modelli di distribuzione (privati, pubblici, ibridi o di community). I problemi di sicurezza associati al cloud computing si dividono in due ampie categorie: problemi di sicurezza affrontati dai cloud provider (organizzazioni che forniscono servizi cloud) e problemi di sicurezza affrontati dai loro clienti (aziende, organizzazioni o privati che utilizzano i servizi offerti dal cloud stesso). La responsabilità è condivisa: il provider deve assicurare che la loro infrastruttura è sicura e che i dati e le applicazioni dei clienti sono protette, mentre gli utenti devono adottare misure per rendere le loro applicazioni difficilmente violabili.

Quando un'organizzazione decide di effettuare lo storage dei propri dati o di ospitare un'applicazione sul cloud, perde la possibilità di avere l'accesso fisico ai server che contengono queste informazioni. Di conseguenza, i potenziali dati sensibili sono esposti al rischio di attacchi interni.

Secondo un recente report della Cloud Security Alliance, gli attacchi che partono dall'interno del cloud provider sono la sesta più grande minaccia nel cloud computing. Pertanto, i cloud providers devono garantire che vengano eseguiti controlli approfonditi sui dipendenti che hanno accesso ai server nei loro data center.

Al fine di risparmiare risorse, ridurre i costi e mantenere alta l'efficienza, i cloud provider spesso memorizzano i dati di più clienti sulla stessa macchina. Di conseguenza, esiste la possibilità che i dati privati di un utente possano essere visualizzati da altri utenti (eventualmente anche loro concorrenti). Per gestire tali situazioni sensibili, i fornitori di servizi cloud dovrebbero garantire il corretto isolamento dei dati e la separazione logica dell'archiviazione.

L'ampio uso della virtualizzazione nell'implementazione dell'infrastruttura cloud crea problemi di sicurezza per i clienti di un servizio di cloud pubblico. La virtualizzazione altera il rapporto tra il sistema operativo e l'hardware sottostante: sia esso relativo al computing, all'archiviazione o persino al networking. Ciò introduce un ulteriore livello che deve essere configurato, gestito e protetto correttamente. Una delle preoccupazioni include la potenziale compromissione del software di virtualizzazione, o "hypervisor". Ad esempio, una violazione della workstation dell'amministratore con il software di gestione della virtualizzazione può causare l'interruzione dei servizi erogati dall'intero data center o la riconfigurazione a piacere di un utente malintenzionato.

Le dimensioni della sicurezza nel cloud

In genere si raccomanda di selezionare e implementare i controlli di sicurezza dell'informazione in base e in proporzione ai rischi: valutando le minacce, le vulnerabilità e gli impatti. I problemi di sicurezza del cloud possono essere raggruppati in vari modi; Gartner ne ha identificati sette mentre la Cloud Security Alliance ha preso in considerazione quattordici aree di interesse. I Cloud Access Security Brokers (CASB) sono un tipo di software che si trova a metà tra gli utenti del servizio cloud e le applicazioni cloud per monitorare tutte le attività e applicare correttamente le politiche di sicurezza. Siccome creare un'infrastruttura sicura al 100% non è mai possibile, spesso ci si affida a servizi di tipo assicurativo che coprono il rischio residuo.

Controlli di sicurezza nel cloud

L'architettura di sicurezza del cloud è efficace solo se sono state implementate le corrette difese. Un'efficiente architettura di sicurezza cloud dovrebbe tenere conto dei problemi che si presentano relativi alla gestione della sicurezza. Quest'ultima risolve questi problemi effettuando controlli che sono messi in atto per salvaguardare eventuali punti deboli del sistema e ridurre l'effetto di un attacco. Un'architettura di sicurezza per un cloud ha molti tipi di controlli, ma di solito si trovano in una delle seguenti categorie:

Controlli deterrenti

Questi controlli hanno lo scopo di ridurre gli attacchi a un sistema cloud. Molto simile a un segnale di avvertenza su una recinzione di una proprietà, i controlli deterrenti in genere riducono il livello di minaccia informando i potenziali attaccanti che ci saranno conseguenze negative per loro se procedono. (Alcuni li considerano un sottoinsieme dei controlli preventivi).

Controlli preventivi

I controlli preventivi rafforzano il sistema contro gli incidenti, in genere riducendo se non eliminando effettivamente le vulnerabilità note. Una corretta ed efficace autenticazione degli utenti rende meno probabile che utenti non autorizzati possano accedere ai sistemi cloud. L'utilizzo di chiavi RSA molto lunghe ne è un esempio.

Controlli investigativi

I controlli investigativi hanno lo scopo di rilevare e reagire in modo appropriato a qualsiasi incidente che si verifichi. In caso di un attacco, un controllo investigativo segnalerà i controlli preventivi o correttivi da adottare per risolvere il problema. Il monitoraggio della sicurezza del sistema e della rete, compresi gli intrusion detection, è tipicamente impiegato per rilevare attacchi ai sistemi e all'infrastruttura di comunicazione.

Controlli correttivi

I controlli correttivi riducono le conseguenze di un incidente, di solito limitando il danno. Essi entrano in azione durante o dopo un incidente. Il ripristino dei backup del sistema per ricostruire un sistema compromesso è un esempio di controllo correttivo.