La conformità al cloud è l'arte e la scienza di rispettare gli standard normativi dell'uso del cloud in conformità con le linee guida del settore e le leggi locali, nazionali e internazionali.
Sommario
Conformità del cloud
La conformità del cloud è l'arte e la scienza di rimanere conformi con le norme che regolano l'utilizzo del cloud ai sensi delle linee guida del settore e delle leggi locali, nazionali e internazionali. Alcuni requisiti normativi comuni comprendono l'Health Insurance Portability and Accountability Act (HIPAA), il Payment Card Industry Data Security Standard (PCI DSS) e il Gramm-Leach-Bliley Act (GLBA).
Quando un'azienda si trova nel cloud, vi è il problema di come il fornitore di servizi cloud la aiuterà a mantenere la conformità alle leggi, come il RGPD europeo o l'HIPAA negli Stati Uniti. Tale tema non deve essere affrontato dopo l'avvio del servizio cloud, bensì nella primissima fase di discussione.
A volte, tuttavia, le aziende si trovano nel cloud molto prima di quanto avessero previsto, e questo complica le cose. Uno dei principi fondamentali del cloud è la necessità di un'interfaccia "self-service", affinché il cliente possa con facilità configurare, modificare e uscire dai servizi cloud.
Ciò che non è chiaro, tuttavia, è chi nell'azienda dovrà occuparsene. A quanto pare, oggi potrebbe essere chiunque. Tutto ciò che serve è una carta di credito aziendale e qualsiasi reparto può lanciarsi nell'immissione dei propri dati nel cloud. Il termine per questo tipo di pratica è noto: shadow IT. Questo termine è molto utilizzato al giorno d'oggi a causa delle caratteristiche del cloud.
Cloud governance
Per governance si intende la supervisione di un'azienda da parte dei dirigenti senior e del Consiglio di amministrazione. La cloud governance è un'estensione di tale supervisione al cloud. La governance è cruciale: senza di essa vi sono troppe domande senza risposta a proposito dei traguardi e degli obiettivi di un'azienda che rendono molto difficile la gestione del cloud e della relativa sicurezza.
Prima di passare al cloud, un'azienda deve considerare quali siano i suoi scopi e obiettivi. Gli scopi e gli obiettivi dovrebbero essere guidati da leggi, regolamenti e contratti applicabili. Al di là degli aspetti legali, la cloud governance indica ai dipendenti la strada giusta per contribuire al raggiungimento di scopi e obiettivi della società.
Errori gravi possono far sì che il cloud complichi le cose, impedendo agli utenti di portare a termine il lavoro. Gli errori possono anche portare un'azienda in tribunale. Il Consiglio di amministrazione e la direzione esecutiva dell'azienda devono occuparsi del cloud.
Leggi e normative
Il primo argomento di qualunque discussione sulla conformità è la legge. Le aziende e i loro avvocati devono affrontare quali sono le leggi applicabili. Devono anche essere chiari sulle conseguenze della non conformità. Una volta identificate le leggi, è importante chiedersi quali controlli di sicurezza devono essere in atto per rispettare le leggi e i regolamenti applicabili.
Normative come l'RGPD dell'UE richiedono una grande quantità di sicurezza in termini di informazioni personali. L'RGPD dell'UE prevede inoltre limiti molto specifici sui luoghi in cui i dati coperti dalla norma possono essere elaborati e archiviati. Si tratta di un potenziale problema per il cloud a causa della sua modalità di funzionamento. Tuttavia, con la maggior parte dei fornitori di servizi cloud è possibile predisporre dei controlli ai fini della rispondenza ai requisiti normativi dell'RGPD.
Contratti
I contratti definiscono un accordo formale tra due o più parti. Quando una società stipula un contratto, è obbligata a rispettarne i relativi termini. In caso contrario si potrebbe incorrere in ingenti penali finanziarie.
Un'organizzazione che elabora o archivia dati di carte di credito, probabilmente ha un accordo con le relative società emittenti che richiede di implementare elementi specifici del Payment Card Industry-Data Security Standard (PCI-DSS).
Per elaborare le carte di credito, un'azienda stipula un contratto in cui si impegna a rispondere ai 12 requisiti di sicurezza della norma. Il livello necessario di implementazione del requisito dipende dal numero di transazioni elaborate in un anno.
Un'azienda deve inoltre cercare di capire se uno o più dei suoi contratti con i clienti definiscono ciò che può fare o non fare nel cloud. Vi è un impatto sulla conformità se si utilizza un cloud di qualunque tipo, pubblico, privato, di comunità, ecc.?
Standard
Molte aziende utilizzano norme quali ISO 27001 o NIST SP 800-53 come base per l'implementazione dei controlli di sicurezza. Se un'azienda decide di usare ISO 27001 come standard, ha bisogno di formare i dipendenti in modo siano in atto controlli adeguati. Essi si estendono al cloud. Di fatto, ISO ha isolato i controlli specifici per il cloud e li tratta in ISO 27017.
Audit
Un modo per valutare il livello di conformità alle leggi, alle norme e ai contratti è condurre un audit. Gli audit possono essere interni o esterni. Un audit interno, completato dai revisori dell'azienda stessa, fornisce un'autovalutazione per determinare il suo livello di conformità. I risultati di un audit interno possono essere visti come distorti poiché i revisori potrebbero essere di parte nelle loro conclusioni.
Per ottenere un'opinione più obiettiva, un'azienda può affidare l'audit a un'azienda terza indipendente specializzata. Gli audit che riguardano il cloud qui presi in considerazione sono quelli effettuati dal fornitore di servizi cloud.
La maggior parte dei fornitori di servizi cloud non accoglie volentieri i clienti nei propri datacenter per l'esecuzione degli audit, quindi ci si affida a terzi indipendenti.
Rapporti di audit
L'esito di un audit si trova nell'apposito rapporto. I rapporti sono standardizzati dall'American Institute of Certified Public Accountants (AICPA). È opportuno che tutte le aziende richiedano il rapporto di audit SOC 2®. Un rapporto SOC 2® è destinato alle organizzazioni di servizio, come i fornitori di servizi cloud. Indica la conformità ai controlli definiti, ad esempio, in ISO 27001 o NIST Cybersecurity Framework (CSF). I controlli vengono valutati secondo i cinque criteri di affidabilità dei servizi dell'AICPA, ovvero:
- Sicurezza
- Disponibilità
- Riservatezza
- Integrità dell'elaborazione
- Privacy
Tali rapporti possono essere di tipo 1 o di tipo 2. Un rapporto di tipo 1 indica lo stato dei controlli in un determinato momento del tempo e che tali controlli sono progettati e installati a un certo livello di idoneità. Un rapporto di tipo 2 indica l'efficacia operativa dei controlli in un determinato periodo, ad esempio sei mesi.
È opportuno che un cliente del cloud richieda tali rapporti, ma è possibile che il fornitore di servizi cloud sia poco incline a fornirli, poiché potrebbero contenere informazioni sensibili sulla propria azienda. Un'altra opzione è un SOC 3®, inteso come rapporto per utilizzo generico. Contiene pochissime informazioni sull'attività del fornitore di cloud. Di fatto indica solamente se l'auditor ha confermato o meno il superamento dell'audit da parte del fornitore di cloud.
Dove posso ottenere aiuto con la sicurezza del cloud?
La piattaforma Trend Vision One™ Cloud Security è una potente soluzione di sicurezza del cloud all-in-one che consente alle organizzazioni di migliorare la loro visibilità nei loro ambienti cloud, controllare l'accesso ai loro dati cloud, automatizzare e rafforzare le loro difese di sicurezza e cybersecurity del cloud, e proteggere proattivamente i loro asset, applicazioni e servizi cloud da nuove ed emergenti minacce informatiche, attacchi informatici e violazioni dei dati.
Tra le altre caratteristiche, Cloud Security offre monitoraggio continuo in tempo reale e valutazione del rischio delle superfici di attacco su tutti i carichi di lavoro, container, API e asset cloud. Fornisce protezione leader nel settore per ambienti cloud, multi-cloud e ibridi attraverso il rilevamento e la risposta alle minacce in tempo reale, la scansione automatica delle vulnerabilità, capacità avanzate di crittografia e una completa garanzia e applicazione della conformità. E offre alle organizzazioni la visibilità e il controllo di cui hanno bisogno per massimizzare la loro postura di sicurezza del cloud e proteggere i loro asset cloud da minacce, attacchi e criminali informatici in continua evoluzione.
Articoli correlati
Verizon's data breach report & unsecured cloud storage
Shared Responsibility for Cloud Security
You're One Misconfiguration Away from a Cloud-Based Data Breach
Microsoft Azure Well-Architected Framework
Using Shift-Left to Find Vulnerabilities Before Deployment
AWS Well-Architected
Safe, Secure and Private, Whatever Your Business
National Institute of Standards and Technology (NIST)