Come garantire la sicurezza e la privacy dei dati in un cloud ibrido - dummies

I fornitori di cloud ibridi devono garantire la sicurezza e la riservatezza dei dati, ma alla fine siete responsabili dei dati della vostra azienda. Ciò significa che le normative del settore e governative create per proteggere le informazioni personali e aziendali continuano ad essere valide anche se i dati sono gestiti o archiviati da un fornitore esterno.

Le tre aree chiave di preoccupazione relative alla sicurezza e alla riservatezza dei dati nel cloud ibrido sono

Posizione dei dati
Controllo dei dati
Trasporto sicuro dei dati

È importante notare che alcuni esperti ritengono che alcuni tipi di dati siano troppo sensibili per il cloud pubblico / ibrido. Questo potrebbe includere dati altamente regolamentati, come informazioni mediche. Altri credono che se si può fornire il giusto livello di trasparenza e controlli, i consumatori possono essere protetti. I cloud che ospitano i dati regolamentati devono soddisfare i requisiti di conformità quali Standard per la sicurezza dei dati (PCI DSS), Sarbanes-Oxley e HIPAA.

Per ulteriori informazioni sulla sicurezza nel cloud, consulta Cloud Security Alliance.

Posizione dei dati nel cloud

Dopo che i dati sono stati trasferiti nel cloud, è possibile che non si abbia il controllo su dove è memorizzato o come viene utilizzato. Numerosi problemi sono associati a questa situazione:

Leggi specifiche del paese: Le leggi sulla sicurezza e normative che regolano i dati possono variare a seconda delle diverse aree geografiche. Ad esempio, le protezioni legali del tuo paese potrebbero non essere applicabili se i tuoi dati si trovano al di fuori di esso. Un governo straniero può essere in grado di accedere ai tuoi dati o ti impedisce di avere il pieno controllo dei tuoi dati quando ne hai bisogno.
Trasferimento di dati oltre i confini nazionali: Una società globale con filiali o partner (o clienti per quella materia) in altri paesi potrebbe essere preoccupata per il trasferimento di dati a livello transfrontaliero a causa delle leggi locali. La virtualizzazione rende questo problema particolarmente difficile perché il provider cloud potrebbe non sapere dove si trovano i dati in un determinato momento.
Uso secondario dei dati: Nelle situazioni di cloud pubblico, i dati o i metadati potrebbero essere vulnerabili agli usi alternativi o secondari del fornitore di servizi cloud. Senza adeguati controlli o accordi sul livello di servizio, i tuoi dati potrebbero essere utilizzati per scopi di marketing. Potrebbe essere fuso con i dati di altre organizzazioni per tali usi alternativi.

Il controllo dei dati nel cloud

È possibile che tu abbia o meno sentito il termine Tria CIA .No, non si tratta di operazioni segrete. CIA sta per Riservatezza , Integrità e Disponibilità . Questi tre attributi esistono da molto tempo nel mondo dell'auditing e dei controlli di gestione; sono fondamentali per i dati nell'ambiente cloud per i seguenti motivi:

Riservatezza: Solo le parti autorizzate con i privilegi appropriati possono accedere a determinati dati; cioè, non c'è il furto dei dati.
Integrità: I dati sono corretti e nessun software dannoso (o persona) lo ha modificato; cioè, non vi è alcuna manomissione dei dati.
Disponibilità: Le risorse di rete sono disponibili per gli utenti autorizzati.

Questi tre attributi sono direttamente correlati al controllo dei dati. I controlli includono le politiche di governance impostate per garantire che i dati possano essere considerati attendibili. L'integrità, l'affidabilità e la riservatezza dei dati devono essere irreprensibili. Questo vale anche per i fornitori di servizi cloud.

È necessario comprendere quale livello di controlli verrà gestito dal provider cloud e considerare come questi controlli possono essere controllati.

Ecco un campionamento di diversi tipi di controlli progettati per garantire la riservatezza, l'integrità e la disponibilità dei dati:

Convalida dell'input controlli per garantire che tutti i dati immessi in qualsiasi sistema o applicazione siano completi, accurati, e ragionevole.
Controlli di riconciliazione di output per garantire che i dati possano essere riconciliati da input a output.
Elaborazione dei controlli per garantire che i dati vengano elaborati in modo completo e accurato in un'applicazione.
Accedi ai controlli per garantire che solo coloro che sono autorizzati ad accedere ai dati possano farlo. Anche i dati sensibili devono essere protetti durante l'archiviazione e il trasferimento. La crittografia può aiutare a farlo.
Ri-identificazione (il processo mediante il quale i dati personali anonimi sono abbinati al suo vero proprietario) controlla per garantire che i codici siano conservati in una posizione separata per impedire l'accesso non autorizzato alle informazioni di re-identificazione.
Gestione modifiche controlli per garantire che i dati non possano essere modificati senza una corretta autorizzazione.
Distruzione dei dati controlli per garantire che quando i dati vengano eliminati in modo permanente, vengano eliminati da qualsiasi luogo, inclusi tutti i siti di archiviazione di backup e ridondanti.

Il concetto di controllo nel cloud è così importante che Cloud Security Alliance ha messo insieme un elenco di oltre 100 controlli denominati Cloud Controls Matrix (CCM) per guidare i fornitori di cloud e assistere i potenziali clienti del cloud nel valutare il rischio complessivo di il fornitore.

La tua azienda deve sviluppare e pubblicare un insieme coerente di regole e politiche riguardanti la creazione, l'acquisizione, la gestione, la trasmissione, l'accesso, la memorizzazione e l'eliminazione di dati riservati e business-critical. Utilizzare tecniche come la crittografia e la tokenizzazione per ridurre l'esposizione al furto e all'abuso di dati.

Il trasporto sicuro dei dati nel cloud

Supponiamo che tu abbia deciso di spostare alcuni dei tuoi dati nel cloud. Per quanto riguarda il trasporto dei dati, tieni a mente due cose:

Assicurati che nessuno possa intercettare i tuoi dati mentre si sposta dal punto A al punto B nel cloud.
Assicurarsi che non vi siano perdite di dati (dannose o meno) da qualsiasi spazio di archiviazione nel cloud.

Nel cloud ibrido, il viaggio dal punto A al punto B può avvenire in diversi modi: all'interno di un ambiente cloud, su Internet pubblica tra un'azienda e un fornitore di servizi cloud, o anche tra le nuvole.

Il processo di sicurezza potrebbe includere la separazione dei dati dai dati di altre società, quindi la crittografia utilizzando un metodo approvato. Inoltre, è possibile che si desideri garantire la sicurezza dei dati meno recenti che rimangono con un fornitore cloud dopo che non ne è più necessario.

Una rete privata virtuale (VPN) è un modo per gestire la sicurezza dei dati durante il trasporto in un ambiente cloud. Una VPN essenzialmente rende la rete pubblica la propria rete privata invece di utilizzare una connessione dedicata. Una VPN ben progettata deve incorporare due elementi:

Un firewall per fungere da barriera tra l'Internet pubblico e qualsiasi rete privata
Crittografia per proteggere i dati sensibili dagli hacker; solo il computer a cui viene inviato deve avere la chiave per decodificare i dati

Oltre al trasporto, in un mondo ibrido, ci saranno punti di contatto tra i tuoi dati e il cloud. Pertanto, è importante gestire la memorizzazione e il recupero di questi dati.