La tecnologica digitale ha permeato progressivamente le aziende pubbliche e private, ma se inizialmente l’innovazione era espressa dai mainframe e terminali, si è poi evoluta nei sistemi client/server e con i personal computer che hanno popolato gli ambienti aziendali, fino ad arrivare al paradigma del cloud computing nelle sue versioni pubblico e privato e secondo le tipologie di IaaS (Infrastructure as a Service), PaaS (Platform as a service) e SaaS (Software as a service). Mentre le piccole aziende si sono mosse verso un approccio “cloud-first” per i servizi IT, non riuscendo a sostenere i costi iniziali e di mantenimento di una infrastruttura IT on premise, altre appena nate, tipicamente startup, sembrano operare esclusivamente dal cloud. Invece, le company di tipo Enterprise con alle spalle investimenti decennali in IT, tali da avere ambienti on-premise funzionali e performanti, non abbracciano il cloud computing per l’intera sostituzione dei loro sistemi informativi, mentendo servizi IT basati su sistemi di elaborazione tradizionale e in qualche caso anche da sistemi legacy su mainframe. In questi casi è il rischio della migrazione legato a tempi e costi di trasformazione, alla reingegnerizzazione applicativa e alla riorganizzazione dei processi che porta a non spostarsi mai completamente. Eppure, queste stesse aziende, per alcune tipologie di servizi e per convenienza, scelgono dotazioni in cloud e quindi di fatto si ritrovano a dover mantenere un ambiente IT Ibrido. Fra i challenges tipici degli ambienti ibridi IT, la garanzia di sicurezza informatica è oggi un requisito imprescindibile, che non può più essere aggiunto a fine progetto. Infatti, il panorama delle minacce sofisticate e la complessità crescente degli ambienti ibridi richiedono e forzano la predisposizione, pianificazione ed implementazione di una infrastruttura intrinsecamente sicura e resiliente capace di mantenere affidabile la fruizione dei dati, specialmente quelli sensibili e/o legati ad applicazioni critiche. La sfida per il prossimo decennio richiederà ai leader aziendali e IT una stretta collaborazione per identificare il miglior utilizzo del cloud e dei servizi tradizionali con la migliore combinazione di velocità, convenienza e sicurezza. In particolare, l’approccio alla “zero trust” nella security sembra oggi prevalere e consente di verificare, rivalutare e reimpostare gli approcci di sicurezza non fidandosi mai delle impostazioni predefinite per ogni livello e/o componente del sistema informativo: perimetro di rete, protocolli, sessioni, configurazioni, accessi, interfacce.
Indice degli argomenti
Definizione e caratteristiche degli ambienti ibridi
Con il termine “IT ibrido” ci si riferisce a quei sistemi informativi che associano data center interni on-premise con infrastrutture cloud pubbliche e/o private. Il termine “ibrido” può essere associato anche ad un sistema informativo in parte gestito dall’azienda e in parte gestito da terzi. I motivi dell’adozione mista possono dipendere da esigenze di economicità, di efficientamento per servizi e applicazioni ai fini di una maggiore capacità competitiva sul mercato, oppure per l’esigenza di far coesistere ambienti legacy con sistemi di nuova concezione fruibili dal cloud. Infatti, non tutti gli ambienti applicativi aziendali possono essere trasferiti nella “nuvola”. Questo accade in particolare con applicazioni legacy e/o mission critical o relative a servizi verso infrastrutture critiche che per normative vigenti, ad esempio quelle sulla riservatezza dei dati, non possono essere delocalizzate (fonte: ZerounoWeb). Ma in alcuni casi la transizione verso il cloud si rivela troppo onerosa economicamente e di fatto fa preferire la permanenza on-premise. L’IT ibrido apporta complessità a vari livelli. Sebbene l’adozione di servizi in cloud liberi da pratiche di manutenzione e gestione pratica operativa, la componente di responsabilità è condivisa fra il provider e l’azienda, sia per la garanzia di SLA (Service Level Agreement) verso i clienti finali, sia per la compliance normativa e per il rispetto delle regole di sicurezza informatica. Un ulteriore aspetto da considerare riguarda la rapidità e velocità del ciclo di sviluppo e deployment delle applicazioni su cloud, che comporta una corrispondente e adeguata agilità ed elasticità organizzativa aziendale per supportare queste accelerazioni e soprattutto per coniugarle ai sistemi di IT tradizionale con cui potrebbero dover essere integrate. Ne consegue in questi casi un aumento di costi per la gestione ibrida se non è possibile trovare un approccio unificato di gestione. Altri motivi di spesa elevata riguardano consumi incontrollati di servizi in cloud pubblico spesso non tenuti sotto controllo. Ogni azienda che abbia un sistema IT di tipo ibrido deve adottare la giusta strategia, associata a una gestione competente, per ottenere i benefici di entrambi gli ambienti. Quale che sia la varietà di combinazioni possibili fra ambienti IT, le maggiori criticità riguardano la gestione e la governance di tutti i sistemi informativi per garantire un grado di cooperazione efficiente, il bilanciamento dei carichi di lavoro, opportune performance, l’ottimizzazione degli investimenti, una adeguata user experience e soprattutto un appropriato livello di sicurezza per i dati (fonte: IBM).
Le challenges di sicurezza degli ambienti ibridi
Con la complessità degli ambienti ibridi, il tema della sicurezza informatica diventa ancora più cruciale. L’aumento del rischio è legato ai security gap che possono verificarsi per vari motivi: dalla tentazione di diminuire le risorse per risparmiare nelle spese, alla riduzione delle politiche di sui test nel ciclo di sviluppo; dagli errori nelle configurazioni iniziali, alla modalità stessa di implementazione dei controlli; dai gap nelle interfacce fra i sistemi gestiti a silos, alla mancanza di uniformità nelle procedure operative di sicurezza (back up, patching, recovery, incident management). Tutto questo può portare a incidenti informatici con impatti gravi sui dati gestiti in relazione alla RID dei dati, ovvero alla Riservatezza (legata alla data responsability e ownership), Integrità (immutabilità del dato), Disponibilità (rendere fruibile il dato quando richiesto da chi ne ha diritto). Per alcune applicazioni è anche cruciale garantire l’autenticità e/o il non ripudio del dato. Una delle prime sfide da affrontare per i decision makers riguarda la comprensione del ruolo strategico della security per il business aziendale che richiede il coinvolgimento dei team di security fin dalle prime fasi delle decisioni strategiche per l’adozione di porzioni di infrastruttura in cloud mantenendo parte dei sistemi on-premise. Infatti, le valutazioni relative alle prassi di sicurezza, considerate per tempo e non a valle delle decisioni, possono consentire ingenti risparmi operativi coniugati a una riduzione del rischio cyber e conseguente diminuzione degli impatti potenziali di un incidente informatico. Il secondo punto strategico e cruciale riguarda la preparazione, formazione e addestramento dei professionisti di security. Gli ambienti ibridi comportano sfide diversificate fra gli ambienti on premise e on cloud e dunque gli esperti di sicurezza sono chiamati ad acquisire o consolidare competenze di sicurezza sia per l’IT on-premise sia per gli ambienti in cloud per saper intervenire con soluzioni che, mettendo il dato al center, o possano consentire la progettazione e implementazione di servizi di sicurezza bilanciando le performance operative. Legato alle complessità dei diversi ambienti, la sfida della tenuta sotto controllo ovvero monitoraggio e auditing di tutte le risorse informatiche troppo spesso risultante in una miriade di diversi strumenti e tool con sovrapposizioni e allarmi molteplici che generano caos nelle notifiche. Alcuni strumenti, poi, non risultano adeguatamente configurabili e personalizzabili nell’integrazione con i sistemi legacy e il risultato causa modelli e metriche di lavoro non adeguate alla tenuta sotto controllo di tutti i dati da proteggere. In questi casi è necessario centralizzare gli allarmi in una dashboard unica con cruscotti diversi prevedendo indicatori e soglie di allarme, ma anche introducendo elementi di automazione per le operazioni elementari e perditempo, lasciando ai team di Security la gestione delle altre casistiche. La gestione degli accessi può risultare un vero incubo in mancanza di un sistema di Single Sign-On (SSO – univoco inserimento di login e password da parte dell’utente che abilita gli accessi ai diversi sistemi integrati fra loro o esistenti nello stesso ambiente informatico operativo n.d.r.) coniugato al sistema di IAM unificato (Identity and Access Management). infatti, la mancanza di rapidità nel provisioning e de-provisioning di utenze per operatori, clienti e amministratori di sistema può causare problemi legati alla riservatezza e disponibilità dei dati. Si parla, in questi casi, di garantire la policy di “least privilege” ovvero il minimo privilegio di accesso possibile come regola nativa, per poi consentire accessi basati su ruoli (Role Based Access Controls-RBAC) su motivata richiesta. Durante le migrazioni di tipo lift-and-shift l’attenzione deve essere posta sulla protezione dei dati durante il trasferimento di migrazione per evitare che viaggino “in chiaro” su canali non protetti o facilmente intercettabili. In particolare, ai fini della protezione della RID dei dati è la crittografia che principalmente incide sull’integrità e riservatezza del dato ed è da applicare nella memorizzazione dei dati ma anche nella cifratura dei canali di comunicazione. L’adozione di policy e regole per la sicurezza dei dati nella sede definitiva dovrebbe prevedere e garantire la conservazione della RID in ogni momento del loro trattamento digitale ovvero quando sono fermi (at rest), e quando si muovono (in transit) per tutta la durata della elaborazione (end-to-end). Per una maggiore garanzia di sicurezza è possibile adottare non solo la crittografica dei dischi di memorizzazione, ma anche la crittografia hardware, come ad esempio un Trusted Platform Module (TPM), incluso nelle workstation e nei server più recenti. Si tratta di un chip hardware sulla scheda madre del computer per l’archiviazione delle chiavi crittografiche che, una volta abilitato, mantiene i dischi rigidi bloccati fino a quando un utente autorizzato non effettua l’accesso. Anche se un utente malintenzionato rubasse il computer, non sarebbe in grado di accedere al disco rigido in mancanza delle credenziali di autenticazione. Per i dati in trasmissione su una rete, le maggiori minacce sono costituite da intercettazione e alterazione. La crittografia della sessione di rete e mediante protocolli di comunicazione garantisce un livello di sicurezza più elevato per i dati in movimento. Per una appropriata scelta di tecnologie e prodotti si può verificare l’aderenza alle regolamentazioni della pubblicazione FIPS, la Federal Information Processing Standard) 140-2, uno standard di sicurezza informatica del governo degli Stati Uniti utilizzato per approvare i moduli crittografici per la protezione dei dati sensibili. In ogni caso in cui nell’ambiente ibrido si adottino soluzioni in cui la sicurezza è integrata nella piattaforma, è buona norma verificare la coerenza con le policy di protezione dei dati aziendali. Se la soluzione integrata non fosse sufficiente o nei casi di gestione dei dati sensibili o classificati o quando il requisito di “autenticità” del dato debba essere comprovato lungo tutto il trattamento digitale, si possono adottare strumenti aggiuntivi “on-purpose”, che siano specialistici per il cloud e/o per la componente on-premise.
Approcci di prevenzione e protezione legati alla “zero trust security”
Nel paradigma della “zero trust” security il criterio è “non fidarsi mai di alcuna impostazione di sicurezza predefinita”. Il che significa, almeno a livello di rete, non considerare più solo un perimetro di sicurezza da difendere. Diversamente dall’impostazione tradizionale che incanalava gli accessi esterni da punti di ingresso verificando e autorizzando verso l’interno del perimetro di sicurezza di rete, dove tutto era lecito, autorizzato e consentito, oggi nel contesto di un ambiente ibrido, il concetto di perimetro non può più essere garantito. Infatti, a causa dell’interconnessione multiforme fra le risorse e gli utenti, si consumano e scambiano informazioni digitali fra risorse in cloud, risorse on premise e varianti intermedie, con il risultato di espandere e/o offuscare i “confini convenzionali di protezione”. Il risultato è una potenziale superficie di attacco molto più ampia e composta di applicazioni e servizi, ma soprattutto di dati, tutti da proteggere. L’approccio “zero trust” richiede, a chiunque tenti di accedere alle risorse aziendali, una verifica a priori. Il livello di granularità non è più a livello di rete ma a livello della singola risorsa che si cerca di accedere. Ogni richiesta di accesso a una risorsa deve essere valutata accuratamente in modo dinamico e in tempo reale in base alle politiche di accesso contestuali e allo stato corrente di credenziali, dispositivo, applicazione e servizio, nonché in base ad altri comportamenti osservabili e attributi ambientali, prima che l’accesso possa essere concesso. Il meccanismo di verifica continua è applicato per prevenire i movimenti laterali che consentono agli attaccanti di “scalare privilegi” e carpire le autorizzazioni per la massima disponibilità di risorse e applicazioni. Naturalmente l’approccio “zero trust” deve essere applicato senza interferire in modo critico con le performance del sistema, pena il fallimento del servizio applicativo verso chi ne deve fruire. Per garantire un’efficace applicazione del paradigma è necessario prevedere verifiche di sicurezza al massimo livello granulare possibile, in modo da rendere la sicurezza completamente integrata nella catena digitale, minimizzando rallentamenti di performance del sistema. Si consiglia di integrare tutte le policy di sicurezza per i diversi ambienti cloud e on premise per avere continuità di compliance ed efficacia nella protezione, introdurre i controlli di sicurezza nel ciclo di vita del software, progettare le applicazioni secondo il criterio data-centrico che preveda nativamente la crittografia, effettuare il deploy delle applicazioni in una infrastruttura dinamicamente hardenizzata, prevedere una soluzione di gestione accessi integrata e con implementazioni specifiche per ogni ambiente, introdurre monitoraggio, rilevazione e risposta anche utilizzando automazione e orchestrazione per diminuire il MTTR (Mean Time To Respond, il tempo medio di risposta agli incidenti) e infine rivalutare tutto il sistema della sicurezza periodicamente per introdurre miglioramenti, ottimizzazioni, chiudere eventuali vulnerabilità e valutare nuovi scenari di attacco, perché il panorama digitale evolve continuamente e così anche deve procedere la capacità di difesa.
