Benvenuti in una nuova era di complessità per coloro che un tempo ritenevano che la sicurezza dei dati fosse una sfida quando il commercio avveniva principalmente a livello locale. Oggi le aziende sono mobili e l'archiviazione cloud viene utilizzata per conservare i dati ovunque. AWS, Azure Cloud o Google Cloud Platforms sono le tre organizzazioni più comuni fornitori di infrastrutture (IAAS). Una cosa però non è cambiata: le persone vogliono ancora che le aziende proteggano i loro dati. Il fallimento non è un'opzione e la violazione degli standard rigorosi odierni comporta sanzioni severe e, forse ancora più importante, la perdita della fiducia dei clienti, che nessuna azienda può permettersi.
In questo articolo approfondiremo il Cloud Compliance Framework, perché è essenziale, i suoi componenti e i framework comuni.
Che cos'è la conformità cloud?
La conformità cloud si riferisce alle norme e ai regolamenti stabiliti dagli organi di governo per garantire che i dati conservati nel cloud siano sicuri, privati e conformi alle linee guida stabilite in materia di sicurezza informatica. Queste normative si applicano spesso ai settori che gestiscono dati sensibili, come quello sanitario (che deve rispettare i requisiti HIPAA) o quello dell'e-commerce (che segue gli standard PCI DSS).
Perché la conformità cloud è importante?
Entro il 2022, oltre il 60% di tutti i dati aziendali sarà archiviato nel cloud. Si tratta del doppio dello spazio di archiviazione cloud rispetto al 2015.
Poiché nel cloud vengono salvati così tanti dati, ogni organizzazione deve impegnarsi per garantirne la sicurezza.
Se i requisiti del cloud non vengono rispettati, possono verificarsi costose violazioni dei dati. La conformità al cloud può aiutarti a sfruttare i vantaggi in termini di convenienza, backup e ripristino dei dati e scalabilità del cloud computing, mantenendo al contempo una solida posizione di sicurezza.
Ad esempio, le leggi HIPAA nel settore sanitario impongono metodi e linee guida di sicurezza rigorosi per particolari tipi di dati sanitari dei pazienti. Un altro esempio è rappresentato dalle nuove leggi che regolano la privacy finanziaria, introdotte a seguito dei cambiamenti avvenuti nel settore bancario negli ultimi decenni.
In sostanza, i clienti del cloud dovrebbero valutare le pratiche di sicurezza adottate dai loro fornitori allo stesso modo in cui valuterebbero la loro sicurezza interna. I servizi offerti dal fornitore di servizi cloud devono essere valutati per verificare se soddisfano i loro criteri. Ci sono molti modi per farlo. Le aziende possono occasionalmente scegliere i fornitori di servizi basandosi esclusivamente sulla loro capacità di certificare la conformità, senza prendere altre decisioni al riguardo. I clienti potrebbero occasionalmente aver bisogno di accedere attivamente alla sicurezza del fornitore di servizi cloud per assicurarsi che sia conforme ai requisiti legali e agli standard del settore.
Che cos'è il Cloud Compliance Framework?
Un Cloud Compliance Framework raccoglie gli standard e le procedure raccomandate per la salvaguardia delle risorse cloud. Altri sono specifici per settore (come quelli per l'industria della difesa o sanitaria), mentre alcuni framework sono generici e destinati ad un uso generale.
Esempi:
- Payment Card Industry Data Security Standard (PCI DSS): L'obiettivo principale di questo quadro di conformità cloud è proteggere le transazioni con carta di credito. Controlla le modalità di trasmissione e conservazione dei dati dei titolari di carta.
- Health Insurance Portability and Accountability Act (HIPAA): HIPAA è una legge che disciplina l'assistenza sanitaria negli Stati Uniti e che riguarda i dati dei pazienti e le modalità con cui le aziende devono conservarli e utilizzarli. Questo Cloud Compliance Framework specifica anche cosa devono fare le aziende in caso di divulgazione delle informazioni personali identificative dei pazienti.
- SOC 2: questo Cloud Compliance Framework valuta i sistemi informativi di un'organizzazione in termini di sicurezza, disponibilità, integrità dell'elaborazione, riservatezza o privacy.
- Con l'aiuto del quadro di conformità cloud ISO 27001, un'azienda può disporre di una gestione della sicurezza delle informazioni affidabile e sicura.
- Il National Institute of Standards and Technology (NIST) offre standard e linee guida per lo sviluppo e la protezione dei sistemi informativi delle agenzie governative. Il quadro di conformità NIST Cybersecurity Framework, NIST 800-53 e NIST 800-171 sono i tre quadri di conformità cloud che possono essere utilizzati per valutare la conformità allo standard NIST.
- Il GDPR (Regolamento generale sulla protezione dei dati) è il quadro di conformità cloud europeo più noto e cruciale per la protezione dei dati personali.
Componenti del quadro di conformità cloud
Ecco i componenti chiave del quadro normativo europeo in materia di conformità cloud:
Governance
Questi filtri preimpostati proteggono le vostre informazioni private da un'esposizione pubblica potenzialmente dannosa. I componenti fondamentali della governance del cloud includono:
Le organizzazioni devono inventariare tutti i servizi cloud e i dati ospitati nell'ambito della gestione delle risorse e quindi definire tutte le configurazioni per proteggersi dalle vulnerabilità. Caratterizzare la struttura, la proprietà e le responsabilità del cloud fa parte della strategia e della progettazione del cloud e dell'integrazione della sicurezza del cloud. I controlli finanziari includono un processo per l'approvazione dell'acquisizione di servizi cloud e il bilanciamento dell'efficacia dei costi con l'utilizzo del cloud.
Controllo delle modifiche
Il controllo delle modifiche diventa più difficile a causa dei due principali vantaggi del cloud: velocità e flessibilità. Le configurazioni errate nel cloud che causano problemi sono spesso dovute a un controllo inadeguato delle modifiche. Le organizzazioni possono utilizzare l'automazione per verificare la presenza di problemi nelle configurazioni e garantire procedure di modifica fluide in modo continuo.
Nel cloud, i controlli di gestione delle identità e degli accessi (IAM) subiscono spesso diverse modifiche. Di seguito sono elencate le best practice IAM per il vostro ambiente cloud:
- Monitorate sempre gli account root perché potrebbero consentire un accesso pericoloso e incontrollato. Implementare l'autenticazione a più fattori (MFA) per l'accesso e, come minimo, monitorarli con filtri e allarmi. Se possibile, disattivarli.
- Utilizza l'accesso basato sui ruoli e i privilegi a livello di gruppo per fornire l'accesso in base alle esigenze organizzative e al principio del privilegio minimo.
- Stabilite regole efficienti per la gestione delle credenziali e delle chiavi, disattivate e istituzionalizzate gli account inattivi.
Monitoraggio continuo
A causa della complessità e della natura frammentata del cloud, è fondamentale monitorare e registrare tutte le attività. La base della verifica della conformità è costituita da chi, cosa, quando, dove e come degli eventi, che mantiene le aziende pronte per gli audit. Durante il tracciamento e la registrazione dei dati nel proprio ambiente cloud è necessario:
- Non dimenticare di attivare la registrazione per tutte le risorse cloud.
- I registri devono essere crittografati e non conservati in archivi accessibili al pubblico.
- Impostare le metriche, gli allarmi e i registri delle attività.
- Controllo delle vulnerabilità
Reportistica
La reportistica offre prove recenti e passate della conformità. Considera questi report come la tua impronta di conformità; saranno utili per gli audit. Se la tua conformità dovesse mai essere messa in discussione, una cronologia dettagliata di tutte le attività che hanno portato a un incidente e che lo hanno seguito potrebbe offrire una prova fondamentale. Il periodo di tempo durante il quale devi conservare questi registri dipende dalle normative specifiche; alcune richiedono solo un mese o due, mentre altre richiedono molto più tempo. In caso di guasto del sistema in loco o di calamità naturale, il vostro team deve conservare tutti i documenti in un luogo sicuro e separato.
Framework comuni per la conformità del cloud
Questi quadri di conformità cloud si applicano specificamente ai requisiti di conformità cloud. I fornitori di servizi cloud e i clienti devono comprendere le specifiche di questi quadri.
La matrice dei controlli della Cloud Security Alliance è una raccolta fondamentale di controlli di sicurezza che funge da punto di partenza per i fornitori di sicurezza, rafforzando le impostazioni dei controlli di sicurezza e facilitando gli audit. Questa metodologia aiuta anche i potenziali clienti a valutare il profilo di rischio dei possibili fornitori di servizi cloud.
Le organizzazioni che desiderano collaborare con qualsiasi agenzia federale devono rispettare la serie di requisiti di sicurezza dei dati relativi al cloud definiti da FedRAMP. L'obiettivo di FedRAMP è garantire che tutte le installazioni cloud utilizzate dal governo federale abbiano una sicurezza minima dei dati e delle applicazioni.
Sarbanes-Oxley (SOX) è una serie di normative che controllano il modo in cui le società quotate in borsa divulgano i dati finanziari per proteggere i consumatori da frodi o errori di rendicontazione. Sebbene gli standard SOX non siano specifici per la sicurezza, coprono varie misure di sicurezza IT perché supportano l'integrità dei dati.
Framework incentrati sulla sicurezza
La seguente legislazione specifica in materia di sicurezza può aiutare le organizzazioni che trattano dati sensibili stabilendo standard di comportamento. Questi framework offrono il processo e la struttura per prevenire incidenti di sicurezza dannosi.
La International Organization for Standards (ISO) 27001 è un insieme di requisiti per i sistemi di gestione della sicurezza delle informazioni che dimostra che la vostra azienda segue le migliori pratiche del settore e si impegna a proteggere i dati dei clienti.
NIST Cybersecurity Framework: Questo fondamentale punto di riferimento in materia di politiche e procedure per le aziende valuta la loro capacità di gestire e contrastare le minacce online. Questo quadro aiuta a identificare e gestire i rischi e funge da manuale delle migliori pratiche per i professionisti della sicurezza.
Framework cloud con una buona architettura
Questi framework, che spesso coprono fattori quali l'efficacia operativa, la sicurezza e il rapporto costo-valore, possono essere considerati standard di best practice per gli architetti cloud.
Questo framework, sviluppato da Amazon Web Services, aiuta gli architetti a progettare carichi di lavoro e applicazioni sul cloud Amazon. Grazie a questo framework, basato su una serie di domande per l'analisi degli ambienti cloud, i clienti hanno accesso a una risorsa affidabile per la valutazione dell'architettura. I cinque principi guida degli architetti Amazon sono l'eccellenza operativa, la sicurezza, l'affidabilità, l'efficacia delle prestazioni e l'ottimizzazione dei costi.
Il Google Cloud Architected Framework funge da base per lo sviluppo e il miglioramento delle soluzioni cloud di Google. Quattro principi fondamentali - eccellenza operativa, sicurezza e conformità, affidabilità e ottimizzazione dei costi delle prestazioni - sono al centro di questo framework, che funge da roadmap per gli architetti.
Guida al mercato CNAPP
La guida di mercato Gartner per le piattaforme di protezione delle applicazioni cloud-native fornisce informazioni chiave sullo stato del mercato delle CNAPP.
Leggi la guidaConclusione
Nonostante le loro differenze, la sicurezza e la conformità sono correlate e hanno molto in comune. Queste sovrapposizioni potrebbero causare pericolose lacune nella difesa. L'utilizzo del Cloud Compliance Framework vi aiuterà ad aumentare la sicurezza. Le organizzazioni possono individuare e gestire le sovrapposizioni tra le strategie di mitigazione dei rischi di sicurezza e conformità utilizzando soluzioni di conformità innovative e continue, come quelle offerte da SentinelOne, per creare ambienti più sicuri.
Domande frequenti sul Cloud Compliance Framework
Un Cloud Compliance Framework è un insieme di regole e best practice che aiutano le organizzazioni a gestire la sicurezza e a soddisfare i requisiti legali negli ambienti cloud. Fornisce indicazioni su come proteggere i dati, controllare l'accesso, monitorare l'attività e segnalare la conformità.
Seguire tale framework consente di rimanere in linea con le leggi del settore ed evitare costose violazioni, mantenendo al contempo la sicurezza delle risorse cloud.
Le organizzazioni ne hanno bisogno per ridurre il rischio di violazioni e sanzioni legali. Crea un processo chiaro per applicare i controlli di sicurezza in modo coerente e monitorare il rispetto delle leggi come il GDPR o l'HIPAA. Un buon framework contribuisce inoltre a instaurare un rapporto di fiducia con clienti e partner, dimostrando che gestisci i loro dati in modo responsabile. Senza di esso, le configurazioni cloud possono diventare un mosaico con lacune che gli aggressori possono sfruttare.
Tra i framework più diffusi figurano il NIST Cybersecurity Framework (CSF) per la gestione complessiva dei rischi, i CIS Controls per le misure di sicurezza pratiche, lo standard ISO/IEC 27001 per i sistemi di gestione, il CSA Cloud Controls Matrix per i controlli specifici del cloud e il FedRAMP utilizzato dai cloud del governo degli Stati Uniti.
Ciascuno di essi definisce i requisiti di conformità, ma la scelta dipende dal settore, dall'ubicazione e dall'utilizzo del cloud.
Una buona regola è quella di controllare gli ambienti cloud almeno una volta al trimestre. Se gestisci dati regolamentati o lanci spesso nuovi servizi, aumenta la frequenza. Gli strumenti di monitoraggio continuo possono segnalare eventuali problemi tra un controllo e l'altro. Revisioni frequenti aiutano a individuare tempestivamente configurazioni errate o deviazioni, in modo da non scivolare fuori dalla conformità senza accorgersene.
Il settore sanitario si affida principalmente all'HIPAA per la protezione delle informazioni dei pazienti. Il settore finanziario spesso segue lo standard PCI-DSS per i dati delle carte di credito e SOC 2 per i fornitori di servizi. Le agenzie governative di solito impongono l'uso del FedRAMP per il cloud. Alcuni settori adottano anche il GDPR per la privacy dei dati se operano in Europa. Scegliete i quadri normativi in base alle normative del vostro settore e alla sede in cui risiedono i vostri dati.
