Gli errori di configurazione rimangono uno dei rischi più comuni in tutto il mondo IT e ciò è ancor più vero quando si tratta di intervenire su sistemi di storage su cloud.
Dire alle aziende di risolvere il problema non è però così semplice come può sembrare, dato che possono entrare in gioco una miriade di fattori e strumenti all’interno della singola infrastruttura informatica aziendale. Questa circostanza, naturalmente, rende complesso trovare il giusto approccio.
L’aspetto chiave è spesso identificare il sistema di intervento e considerare la giusta metodologia da applicare nello specifico contesto. Anche una semplice soluzione di data storage richiede una pianificazione dettagliata per assicurare che i controlli di sicurezza forniscano una buona protezione non solo nel primo periodo ma anche in seguito, indipendentemente da dove si trovino effettivamente i dati.
Indice degli argomenti
Storage su cloud: comprendere i rischi di sicurezza
Per iniziare è bene considerare che sia le reti pubbliche (cloud-hosted) sia quelle private sono soggette a rischi specifici. Per quanto concerne i dati conservati su cloud, si continuano a registrare controlli degli accessi inadeguati allo storage online con il risultato di perdite di dati e uno stato perenne di conservazione poco sicura delle credenziali di accesso.
Sfortunatamente, questi problemi non coinvolgono esclusivamente la realtà online. Una scarsa attenzione alla protezione delle credenziali d’accesso – anche on premise – crea le condizioni ottimali per l’attacco da parte di criminal hacker; un contesto destinato potenzialmente a creare ulteriori perdite di dati.
In estrema sintesi, i problemi specifici riguardanti il data storage permangono indipendente da dove vengano conservati i dati.
Negli ultimi anni si sono osservati diversi passi in avanti in quest’area specifica, ma se l’approccio “security by default” è quello più comune tra i fornitori di soluzioni IaaS (Infrastructure as a Service) è anche vero che questi sistemi non sono di facile utilizzo e in alcuni casi vengono del tutto ignorati, complicando ulteriormente le circostanze.
Per coloro i quali continuano a utilizzare macchine virtuali e fisiche nei propri data center c’è una preoccupante carenza di sicurezza di default applicata alla gestione dei server. Il risultato è che, ogni volta che viene aggiunta una nuova macchina al data storage, ciascun deployment richiede sforzi aggiuntivi dal lato security.
Come rispondere a questi rischi specifici
Alla luce del contesto delineato nei paragrafi precedenti, diventa di fondamentale importanza l’aspetto preventivo. Se i ladri sanno che lasci il caveau sempre aperto non mancheranno i tentativi di furto. Ma una volta chiusa la porta è importante assicurarsi che rimanga così per tutto il tempo necessario.
Un incidente di sicurezza isolato potrebbe porre una toppa alle necessità più impellenti a protezione dei tuoi dati, ma solo attraverso procedure regolari di auditing è possibile assicurarsi che i dati rimangano al sicuro (e che non si formino nuove crepe col passare del tempo).
Per questa ragione, i controlli automatizzati assumono un ruolo cruciale. Il controllo annuale “che ha sempre funzionato” non è destinato a funzionare in eterno, dato che agli aggressori ora sono sufficienti pochi secondi per estrarre dati sensibili o rilasciare uno spyware tramite il quale monitorare la situazione e studiare le prossime mosse.
L’importanza dell’automazione
L’automazione, almeno dal lato teorico, dovrebbe essere abbastanza efficiente da tenere automaticamente in considerazione le nuove possibili configurazioni. Non risulta sensato controllare sempre i medesimi server (o gli stessi servizi di storage) nel caso in cui l’azienda si sia allargata, lasciando aree non protette all’interno dell’infrastruttura digitale.
Una volta risolta la questione “automazione”, manca comunque un pezzo del puzzle finale: ovvero assicurarsi che l’automazione funzioni correttamente.
Moltissime aziende vengono colte alla sprovvista da antivirus non aggiornati o liste di controllo accessi ereditate che si presumeva fossero automatizzate.
Affinché tale risposta risulti efficace è bene prevedere in anticipo piani precisi a seconda dello scenario che ci si trova davanti, per ridurre al minimo la possibile insorgenza di errori o di caos.
Il modello di data protection ideale
Tenendo tutto questo a mente, il modello di data protection ideale deve essere sufficientemente flessibile da coprire i fabbisogni di diversi sistemi.
Integrare l’infrastruttura di autenticazione e i sistemi di richiesta di accesso in modo tale che forniscano un fronte unico e un sistema back-end per stabilire la proprietà e l’accesso ai dati può semplificare enormemente le cose, riducendo i problemi agli utenti finali e agli amministratori.
Una volta stabilizzato il sistema IT, l’automazione dovrebbe essere permessa così come il facile accesso a strategie di rimedio.
Storage su cloud: sicurezza a portata di mano
Allo stato attuale un numero sorprendente di aziende pubbliche e private non sa dove si trovino i propri dati e solo un numero ristretto dispone di un modello strutturato per gestire l’accesso o un modello per monitorare la situazione e trovare contromisure a eventuali problemi.
Ma tutti questi controlli di sicurezza sono a portata di mano.
