Quando Christina Shannon ha assunto il suo nuovo incarico di responsabile globale della sicurezza informatica (CISO) presso Catalina USA lo scorso anno, è rimasta sbalordita nel scoprire un’organizzazione con oltre 40 ambienti cloud.
L'azienda di marketing, nota per la produzione di buoni sconto basati sugli acquisti effettuati dai clienti alla cassa, aveva già da tempo avviato il passaggio dal formato cartaceo a quello digitale. Nell’ambito di tale transizione, l’azienda desiderava offrire sconti sugli acquisti effettuati tramite smartphone, il che comportava il trasferimento completo ( ) di 100% sul cloud.
Dal punto di vista di Shannon, ciò significava che il team addetto alla sicurezza informatica avrebbe dovuto impegnarsi nell’implementazione di strumenti di sicurezza cloud-native per migliorare la propria capacità di identificare, proteggere e ripristinare le risorse su più cloud.
«Mi sono trovata in una situazione in cui disponevamo di tutti questi ambienti cloud, ma il mio team di sicurezza non ne monitorava nessuno», ricorda Shannon. «Si limitavano a esaminare ciò che era presente in un data center, tralasciando metà della visibilità sull’ e necessaria per quantificare il rischio informatico.»
L'adozione del cloud computing comporta rischi per la sicurezza
Catalina non è l'unica. Mentre le aziende si affrettano a passare al cloud, molte lo hanno fatto senza aver prima implementato solide strategie di sicurezza per proteggere le proprie risorse in diversi ambienti cloud.
Si tratta di un problema grave poiché il 73% delle organizzazioni, non volendo rimanere vincolate a una singola piattaforma di un fornitore di servizi cloud (CSP), ora ospita i propri dati su più cloud pubblici, quali Amazon Web Services (AWS), Microsoft Azure e Google Cloud, secondo un sondaggio condotto da Splunk. La mancanza di misure di protezione volte a gestire la proliferazione degli ambienti cloud ha contribuito a far sì che il 45% delle aziende abbia subito violazioni dei dati nel cloud o non abbia superato gli audit negli ultimi 12 mesi, secondo quanto riportato dal 2022 ° studio sulla sicurezza cloud di Thales.
Una complessità così incontrollata può rappresentare la rovina di qualsiasi reparto di sicurezza informatica, poiché porta a configurazioni errate del cloud e dei firewall che aprono varchi agli hacker opportunisti. Infatti, secondo Gartner, il 99% dei fallimenti nella sicurezza del cloud fino al 2025 ° sarà “da attribuire al cliente”. Twitch, Uber, Imperva e una serie di aziende i cui servizi cloud sono stati compromessi a causa di configurazioni errate possono
confermarlo.
Estendere le buone pratiche di sicurezza informatica alle infrastrutture sia on-premise che nel cloud non è un compito facile. La sua realizzazione può richiedere anni, in parte perché gli ambienti digitali sono in continua evoluzione. E anche se un’azienda ha messo ordine al proprio interno, è possibile che i suoi partner non abbiano protetto adeguatamente i propri sistemi cloud, le proprie reti e i propri prodotti.
[Leggi anche: Come contrastare i rischi legati a soggetti terzi]
«Man mano che le organizzazioni adottano ambienti multicloud, devono
tenere presente che gli attacchi informatici spesso hanno successo perché
sfruttano una vasta catena di fornitura di fornitori di tecnologia», afferma Nataraj Nagaratnam, direttore tecnico (CTO) per la sicurezza cloud presso IBM. «Data questa complessità, i malintenzionati possono facilmente
sfruttare le vulnerabilità derivanti da configurazioni errate o
da pratiche non sicure.»
Per ogni cloud è necessaria una sicurezza informatica dedicata
Gli esperti sostengono che sia importante riconoscere che ogni cloud presenta probabilmente una serie specifica di sfide e soluzioni in materia di sicurezza. Gli approcci e gli strumenti standardizzati, pertanto, non funzioneranno.
«Mi sono trovato in una situazione in cui disponevamo di tutti questi ambienti cloud, ma il mio team di sicurezza non ne monitorava nessuno.»Christina Shannon, responsabile della sicurezza informatica (CISO), Catalina USA
«La sfida principale nella protezione dell’ambiente multicloud consiste nel comprendere che ogni servizio cloud presenta modalità leggermente diverse nell’implementazione e nel monitoraggio delle funzioni di sicurezza di base», afferma John Pescatore, direttore delle tendenze emergenti in materia di sicurezza presso il SANS Institute. «I vostri controlli di sicurezza dovranno essere adeguati per funzionare in tale contesto.»
Per quanto riguarda i cloud pubblici, le aziende dovrebbero iniziare utilizzando gli strumenti forniti dagli stessi fornitori di servizi cloud (CSP). Microsoft Azure, ad esempio, offre controlli e servizi integrati relativi a identità, dati, reti e applicazioni. AWS offre, dal canto suo, soluzioni di protezione dei dati di base, gestione delle identità e degli accessi (IAM), rilevamento e risposta gestiti (MDR) e protezione di reti e applicazioni.
Affrontare le sfide di sicurezza nell’ambito del multicloud con un approccio globale
Sebbene gli strumenti CSP siano affidabili, funzionano al meglio nei propri ambienti cloud.
La maggior parte delle aziende necessita di una combinazione di strumenti e tecniche complementari per ottenere una copertura multicloud completa. Un approccio di ampio respiro sta acquisendo sempre maggiore importanza a seguito dell’affermarsi dell’ della containerizzazione, che isola le applicazioni, nonché della diffusione dei microservizi che accoppiano in modo flessibile gli elementi di un’applicazione. Queste strategie consentono alle applicazioni di funzionare su diversi cloud e tutte devono essere protette.
Per garantire la massima visibilità e sicurezza in un ambiente multicloud, gli esperti raccomandano di adottare alcune misure oltre all’utilizzo degli strumenti dei fornitori di servizi cloud (CSP).
- Integrare la sicurezza nel DevOps. Philip Bues, responsabile della ricerca per IDC Cloud Security, osserva che molte organizzazioni dispongono di numerosi sviluppatori interni che scrivono codice per cloud privati e pubblici, il quale funziona ottimamente dal punto di vista funzionale ma non è necessariamente sicuro di default. Egli sostiene che ogni strategia di sicurezza nel cloud dovrebbe includere una componente denominata “shift left”, che consiste nel garantire che un maggior numero di test operativi e di sicurezza venga condotto nelle primissime fasi dello sviluppo di qualsiasi software o servizio basato sul cloud.
- Adottino una piattaforma di protezione di tipo “ endpoint ”. Nel 94% delle aziende, fino al 20% degli endpoint risulta sconosciuto. Al giorno d’oggi, ciascuno di questi endpoint accede a un cloud pubblico o privato e diventa vulnerabile a dati non protetti. Le piattaforme di protezione degli endpoint (EPP) offrono una combinazione di misure di sicurezza relative all’igiene informatica ( ), al rilevamento delle minacce ( ) e alla risposta agli incidenti ( ) , oltre a funzionalità di gestione delle risorse IT () e di gestione operativa.
- Si consideri la tecnologia MDR. Shannon afferma che una delle prime cose che il suo team di sicurezza ha fatto dopo il suo arrivo è stata quella di individuare quale delle 40 cloud di Catalina contenesse le risorse più critiche. «È proprio lì che era più probabile che si verificassero le violazioni», afferma. Successivamente, hanno implementato una combinazione di strumenti di sicurezza cloud-native per monitorare, gestire e proteggere meglio tali sedi. Il team di Shannon desiderava estendere la sicurezza dal cloud al dispositivo, pertanto ha implementato strumenti MDR in aggiunta a una protezion a endpoint.
- Dare priorità alla gestione delle vulnerabilità. Anche Brian Bobo, CISO di Greenway Health, un’azienda di medie dimensioni specializzata nella fornitura di software per la gestione delle cartelle cliniche elettroniche ( ) , utilizza MDR e EPP . Egli ritiene tuttavia che siano necessarie anche una gestione delle vulnerabilità e una tecnologia per identificare, classificare e risolvere le vulnerabilità note presenti in un sistema. «La maggior parte delle organizzazioni non dedica alla gestione delle vulnerabilità tutto l’impegno che, a mio avviso, dovrebbe», afferma Bobo. «A mio avviso, anche se non dovesse fare nient’altro, la gestione delle vulnerabilità dovrebbe rappresentare la priorità assoluta. «Potete disporre della migliore tecnologia al mondo, ma una sola vulnerabilità può consentire a un malintenzionato di aggirare tutte queste protezioni e compromettere la vostra sicurezza.»
- Valutare le soluzioni per la gestione delle chiavi crittografiche. Per garantire il controllo su chi possa decriptare i dati, Nagaratnam di IBM afferma che è importante poter visualizzare, assegnare e gestire le chiavi crittografiche da un’unica dashboard. Questa visione unificata può contribuire a semplificare le operazioni e consentire alle aziende di eseguire in modo sicuro i carichi di lavoro in diversi ambienti. Inoltre, aggiunge, può aiutare i reparti IT e legali a dimostrare più rapidamente la conformità alle normative in materia di sovranità dei dati.
[Leggi anche: La “proliferazione normativa” mette sotto pressione le multinazionali]
- Effettuare test di penetrazione. Shannon raccomanda inoltre di effettuare periodicamente dei test di penetrazione per verificare l'efficacia delle attuali misure di sicurezza. «Individuo alcuni rischi per l’azienda che mi destano preoccupazione, poi valuto quale potrebbe essere la nostra situazione in merito ai test di penetrazione», afferma. «Ad esempio, ne ho appena effettuato uno per valutare la probabilità che si verifichi un attacco ransomware a causa di una vulnerabilità nel cloud.» A Shannon era stato detto che l’azienda aveva segmentato i backup in caso di attacco, ma voleva verificarlo. Pertanto, ha condotto un test di vulnerabilità per verificare con quanta facilità qualcuno potesse ampliare i propri privilegi di accesso al fine di sferrare un attacco a livello di sistema.
In sintesi, per garantire la sicurezza delle infrastrutture multicloud, le aziende devono adottare le migliori pratiche e gli strumenti adeguati sin dal momento in cui iniziano a progettare e sviluppare gli ambienti e per tutto il loro ciclo di vita. Le nuvole non dormono mai. E dato che gli attacchi si verificano 24 ore su 24 e in diversi fusi orari, lo stesso vale per gli hacker che li sferrano.
