Molte sono le domande ed affermazioni popolari che creano delle false verità sul Cloud e sui suoi servizi associati, provocando dubbi e paure che in questo articolo cerchiamo di sfatare. Facciamo chiarezza su alcuni dei “falsi miti” più diffusi, partendo da quello sulla sicurezza dei dati precaria per poi proseguire con gli altri nei prossimi articoli.

Il primo in assoluto, il più popolare, è: “ma il Cloud è sicuro?”; e di conseguenza: “i miei dati inseriti sul cloud possono essere visti da tutti?”. Seguono poi convinzioni come: “io ho il mio data center in Hosting, sono già nel cloud!!” oppure legato alla prigionia dei dati: “con il cloud i miei dati sono in possesso del fornitore e non potrò mai andar via”.

“Il cloud non è sicuro” è uno dei principali falsi miti che riguardano il cloud, collegato all’effettiva sicurezza delle informazioni che si immagazzinano su di esso. Nella visione collettiva che si riscontra nel dibattito pubblico sembra affermarsi l’idea che, una volta usciti dai propri server o data center, vi sia una perdita di controllo sui propri dati, che divengono un più facile bersaglio dei criminali informatici.

Nella realtà, si osserva come la sicurezza informatica sia direttamente proporzionale agli investimenti che vengono effettuati per garantirla. Di conseguenza, gli operatori che investono il maggior numero di risorse in questo comparto sono in genere anche quelli capaci di garantire i livelli di sicurezza più alti, grazie a sistemi e tecnologie di ultimissima generazione.

A maggior ragione, sistemi che ospitano più soggetti in concorrenza tra la loro hanno accesso alle migliori risorse disponibili, e possono dunque garantire un livello di sicurezza complessivamente più alto rispetto ai sistemi chiusi.

Secondo uno studio pubblicato da Markets and Markets Research nel luglio del 2020, gli investimenti globali sulla sicurezza informatica del cloud hanno raggiunto i 34,5 miliardi di dollari nel 2020 e dovrebbero arrivare a 68,5 miliardi di dollari entro il 2025.

Gli hyperscaler, i cloud service provider che operano a livello mondiale, facendo della sicurezza un proprio punto di forza, investono su di essa ingenti risorse economiche. Per questo motivo, deve essere ben chiaro che i dati che vengono affidati a questi soggetti sono protetti da livelli di sicurezza che difficilmente altri soggetti (es. piccoli operatori o singoli operatori nazionali) sarebbero in grado di garantire. Inoltre, il livello di sicurezza ICT raggiunto da questi operatori è allineato a framework di cybersecurity, leggi e certificazioni internazionali che sono puntualmente verificati formalmente da auditor indipendenti.

Per quanto concerne gli aspetti strettamente tecnici che riguardano la sicurezza delle piattaforme di cloud computing, questi si basano su una complessa interazione di tecnologie, controlli, processi. Cyber Threat Intelligence e Continous Monitoring, Intrusion Detection Systems (IDS) e Intrusion Prevention Systems (IPS), Resilienza della piattaforma costituiscono poi la spina dorsale della sicurezza nel cloud.

Gli strumenti di Threat Intelligence rappresentano la capacità di intelligence sviluppata in ambito cyber security. Questi includono la raccolta e l’analisi di informazioni al fine di caratterizzare possibili minacce informatiche dal punto di vista tecnico, di risorse, di motivazioni e di intenti, spesso in relazione a contesti operativi specifici.

Gli IDS sono strumenti atti ad eseguire un monitoraggio continuo della sicurezza, allo scopo di identificare in anticipo tutti gli attacchi alle reti informatiche e ai computer.

Gli IPS sono invece dei componenti software attivi che registrano e tentano di segnalare e bloccare gli attacchi alle reti informatiche. Questi rappresentano un’estensione degli strumenti di IDS, poiché posizionati online e abilitati a prevenire e bloccare le intrusioni identificate. Nello specifico, gli IPS possono mandare un allarme, eliminare pacchetti malevoli, resettare le connessioni e/o bloccare il traffico da un indirizzo IP attaccante, correggere gli errori CRC (Cyclic redundancy check), de-frammentare pacchetti, evitare problemi di sequenza TCP e ripulire i livelli di trasporto e la rete da opzioni indesiderate.

La resilienza della piattaforma consiste nella capacità della infrastruttura cloud di ripristinarsi quando sollecitata dal carico di lavoro (più richieste di servizio), da attacchi (accidentali a causa di un bug o intenzionali) e guasti di qualsiasi componente nei componenti del carico di lavoro.

Altro aspetto fondamentale che permette ai cloud provider di mantenere le proprie reti sicure sono i test di vulnerabilità e di penetrazione.

Questi prevedono un’analisi attiva e passiva dei sistemi al fine di individuare eventuali punti deboli, difetti tecnici e vulnerabilità. I test sono utili a far emergere problematiche derivanti da difetti di progettazione, implementazione e gestione del sistema. Un ultimo aspetto, spesso trascurato, è quello della sicurezza fisica dei luoghi in cui i dati vengono custoditi. I data center gestiti dai cloud service provider di scala globale sono posizionati in luoghi (generalmente segreti) protetti da stringenti misure di sicurezza più simili a caveau delle banche piuttosto che ad una classica sede aziendale.

I data center degli hyperscaler sono realizzati in modo tale da essere completamente fault-tolerant e prevedere ridondanza per ogni componente. Nella fase di scelta dei luoghi dove collocare i data center, i cloud provider eseguono inoltre valutazioni preliminari di natura ambientale e geografica. Le location vengono selezionate in modo da limitare il rischio di danni di natura ambientale, come alluvioni, condizioni climatiche estreme e attività sismiche. In caso di imprevedibili e disastrosi avventi avversi, al fine di salvaguardare la continuità delle operazioni, i cloud provider mettono a disposizione dei propri partner servizi di Disaster Recovery, ovvero misure tecnologiche che permettono, in caso di imprevisto, di ripristinare sistemi, dati e infrastrutture necessarie all’erogazione di servizi. Di fronte ad una grave emergenza che mina il funzionamento dei sistemi aziendali, le procedure di Disaster Recovery permettono di ripristinare il software di sistema ed i file che sono stati classificati e documentati come critici.

Sei ancora convinto che soluzioni di cloud computing minino la sicurezza dei tuoi dati? Crediamo proprio di no, ma se hai ancora dubbi puoi rivolgerti a Hecate Consulting, società del Gruppo Philmark. Rimani connesso con il nostro blog per scoprire il secondo “falso mito” sul mondo del cloud.