Sviluppo di un ambiente Hybrid Cloud sicuro - dummies

Un approccio ponderato alla sicurezza può riuscire a mitigare molti rischi per la sicurezza in un ambiente cloud ibrido. Per sviluppare un ambiente ibrido sicuro, è necessario valutare lo stato corrente della strategia di sicurezza e la strategia di sicurezza offerta dal provider cloud.

Valutazione dello stato attuale di sicurezza

In un ambiente ibrido, la sicurezza inizia con la valutazione dello stato corrente. Puoi iniziare rispondendo a una serie di domande che possono aiutarti a formare il tuo approccio alla tua strategia di sicurezza. Ecco alcune domande importanti da prendere in considerazione:

• Hai recentemente valutato la tua infrastruttura di sicurezza tradizionale?

• Come si controllano i diritti di accesso alle applicazioni e alle reti, sia all'interno della propria azienda che all'esterno del firewall? Chi ha il diritto di accedere alle risorse IT? Come ti assicuri che solo le identità giuste possano accedere alle tue applicazioni e informazioni?

• È possibile identificare le vulnerabilità e i rischi delle applicazioni Web e quindi correggere eventuali punti deboli?

• Hai un modo per tenere traccia del tuo rischio per la sicurezza nel tempo così puoi facilmente condividere informazioni aggiornate con chi ne ha bisogno?

• Gli ambienti server sono protetti in ogni momento da minacce esterne alla sicurezza?

• Se si utilizza la crittografia, si gestiscono le proprie chiavi o le si ottiene da un fornitore affidabile e affidabile? Usi algoritmi standard?

• È possibile monitorare e quantificare i rischi per la sicurezza in tempo reale?

• È possibile implementare coerentemente le politiche di sicurezza su tutti i tipi di architetture locali e cloud?

• Come proteggi tutti i tuoi dati, indipendentemente da dove sono memorizzati?

• È possibile soddisfare i requisiti di revisione e reporting per i dati nel cloud?

• È possibile soddisfare i requisiti di conformità del proprio settore?

• Qual è il programma di sicurezza dell'applicazione?

• Quali sono i tuoi piani di emergenza e di recupero? Come si garantisce la continuità del servizio?

Valutazione della sicurezza del fornitore cloud

Un ambiente cloud ibrido pone una serie speciale di sfide in termini di sicurezza e governance. I cloud ibridi utilizzano la propria infrastruttura oltre a quella del proprio fornitore di servizi. Ad esempio, i dati possono essere archiviati nei propri locali ma elaborati nel cloud. Ciò significa che l'infrastruttura locale può essere connessa a un più pubblico cloud, il che influenzerà i tipi di controlli di sicurezza necessari.

I controlli devono essere implementati per la sicurezza perimetrale, l'accesso, l'integrità dei dati, il malware e simili, non solo presso la vostra sede, ma anche con il vostro fornitore di servizi cloud.I fornitori di servizi cloud hanno ciascuno il proprio modo di gestire la sicurezza. Possono o meno essere compatibili con la conformità e il piano di sicurezza generale della vostra organizzazione. È assolutamente fondamentale che la vostra azienda non sepolti la testa sulla sabbia supponendo che il fornitore di servizi cloud abbia coperto la sicurezza.

Devi verificare che il tuo fornitore di servizi cloud garantisca lo stesso livello di sicurezza richiesto internamente (o un livello superiore, se stai cercando di migliorare la tua strategia di sicurezza generale). Devi fare molte domande difficili per garantire che la strategia di sicurezza e governance della tua azienda possa essere integrata con quella del tuo fornitore.

Ecco alcuni suggerimenti che possono aiutarti a iniziare e che potrebbero essere utili anche per valutare la tua strategia di sicurezza:

• Chiedi al tuo fornitore di servizi cloud quale tipo di aziende che forniscono. Fai anche domande sull'architettura di sistema per capire meglio come viene gestita la multi-tenancy.

• Visita la struttura senza preavviso per capire quali misure di sicurezza fisica sono in atto. Secondo il CSA, questo significa attraversare tutte le aree, dalla reception alla stanza del generatore e persino ispezionare i serbatoi del carburante. È inoltre necessario verificare la sicurezza del perimetro (ad esempio, controllare come le persone accedono all'edificio) e se l'operatore è pronto per una crisi (ad esempio estintori, allarmi e simili).

• Controlla dove si trova il provider cloud. Ad esempio, si trova in un'area ad alta criminalità o in un'area soggetta a disastri naturali come terremoti o inondazioni?

• Che tipo di documentazione aggiornata ha il fornitore di servizi cloud in atto? Ha piani di risposta agli incidenti? Piani di risposta alle emergenze? Piani di riserva? Piani di restauro? Controlli in background del personale di sicurezza e di altri membri del personale?

• Che tipo di certificazioni ha il fornitore? Il personale di sicurezza del cloud ha certificazioni come CISSP, CISA e ITIL?

• Scopri dove verranno archiviati i tuoi dati. Se la tua azienda ha dei regolamenti di conformità che devono soddisfare i dati residenti in paesi stranieri, questo è importante sapere.

• Scopri chi avrà accesso ai tuoi dati. Controlla anche per vedere come i dati saranno protetti.

• Scopri di più sui piani di backup e conservazione dei dati del provider. Volete sapere se i vostri dati sono mescolati con altri dati. Se desideri recuperare i tuoi dati quando termini il contratto, questi problemi potrebbero essere importanti.

• In che modo il tuo provider preverrà attacchi DoS (denial-of-service)?

• Che tipo di contratti di manutenzione ha il tuo fornitore per le sue apparecchiature?

• Il tuo provider cloud monitora continuamente le sue operazioni? Puoi avere visibilità su questa capacità di monitoraggio?

• Come vengono rilevati gli incidenti? Come vengono registrate le informazioni?

• Come vengono gestiti gli incidenti? Qual è la definizione di un incidente? Chi è il tuo punto di contatto presso il tuo fornitore di servizi? Quali sono i ruoli e le responsabilità dei membri del team?

• In che modo il tuo provider gestisce la sicurezza delle applicazioni e la sicurezza dei dati?

• Quali metriche monitora il provider cloud per garantire che le applicazioni rimangano sicure?

Data l'importanza della sicurezza nell'ambiente cloud, si potrebbe presumere che un importante fornitore di servizi cloud avrà una serie di accordi di livello di servizio completi per i propri clienti. In effetti, molti degli accordi standard hanno lo scopo di proteggere il fornitore di servizi, non il cliente. Pertanto, la tua azienda deve davvero comprendere il contratto e l'infrastruttura, i processi e le certificazioni del tuo fornitore di servizi cloud.

È necessario articolare chiaramente i requisiti di sicurezza del cloud e la strategia di governance e determinare la responsabilità. Se il tuo provider cloud non vuole parlare di questi elementi, probabilmente dovresti considerare un fornitore di cloud diverso. D'altra parte, il tuo fornitore di servizi cloud potrebbe avere qualche asso nella manica che può migliorare la tua sicurezza!