Come migliorare la sicurezza nella realtà multi-cloud

Da pura avanguardia, il potere trasformativo del multi-cloud è ormai una realtà a portata di tutti. Una nuova ricerca condotta da IDG e commissionata da Dell Technologies e VMware indica che l’86% dei responsabili IT sta già utilizzando più servizi cloud differenti, mentre la stragrande maggioranza dei rimanenti prevede di farlo entro il prossimo anno o nel successivo. Dalla migrazione dei carichi di lavoro nel cloud, le aziende più innovative traggono benefici sul fronte dell’agilità, della flessibilità e dell’efficienza in termini di costi, mentre anche le organizzazioni più tradizionali ritengono ora che la maggiore flessibilità e potenza dell’adozione del multi-cloud siano perfettamente alla loro portata.

Allo stesso tempo il 43% degli intervistati ritiene che la sicurezza sia una delle principali sfide legate al passaggio dei carichi di lavoro in cloud, e i numeri salgono al 56% per le imprese più piccole. Circa il 50% dei responsabili IT dichiara di avere evitato la migrazione dei propri carichi di lavoro per preoccupazioni relative alla sicurezza. Sebbene non esista un percorso semplice per aggirare l’ostacolo, le best practice per il miglioramento della sicurezza in un mondo multi-cloud stanno finalmente iniziando a raccogliere consensi.

Applicare la sicurezza a livello dei carichi di lavoro

Disaccoppiare i carichi di lavoro residenti nel cloud dall’hardware sottostante è qualcosa che cambia radicalmente le valutazioni da fare per la loro protezione dagli attacchi informatici. In un mondo multi-cloud, in cui container e macchine virtuali si spostano liberamente tra infrastrutture on-premise e pubbliche, il concetto di “perimetro di rete” perde di significato. Richard Bennett, Head of Industry Solutions & Strategy per l’area EMEA di VMware, afferma che “Le mura poste a protezione del castello non sono più efficaci. Puoi avere un fossato pieno di coccodrilli, ma cosa succede se qualcuno lo salta con un’asta?”.

Scopri di più sulle soluzioni per imprese di Dell Technologies in collaborazione con Intel® ⇒

Di fatto, anche all’interno di un data center convenzionale, la maggior parte del traffico è di tipo trasversale (interno) e quindi già al di fuori della supervisione e del controllo dei tradizionali di difesa, quali firewall e sistemi perimetrali di rilevamento delle intrusioni (Intrusion Prevention System, IPS). Gli scenari multi-cloud vanno oltre i confini di questa realtà, con carichi di lavoro che condividono host fisici e risorse di rete interne con terze parti ignote.

Per operare in massima sicurezza in questo tipo di architettura, erigere barriere che circondino l’ambiente non è più sufficiente. E poiché lo specifico hardware utilizzato è soggetto a continui cambiamenti, è necessario riconsiderare le protezioni orientate a difendere quest’ultimo. Un approccio più moderno è quello in cui la sicurezza è software-defined. Mike van Vliet, Consulting Pursuit Lead di Dell Technologies per l’area EMEA, consiglia di applicare “tutte le norme di sicurezza […] il più vicino possibile ai dati e all’applicazione: letteralmente nella VM o nel container”.

Secondo questo approccio, le misure di protezione quali firewall e IPS vengono definite all’interno del software e sono attivate e disattivate contemporaneamente ai carichi di lavoro stessi. L’aspetto più importante è che queste risorse siano definite a livello di carico di lavoro, all’interno del container o della virtual machine. Di conseguenza, rimangono operative e collocate nella stessa posizione dei carichi di lavoro anche durante gli spostamenti tra sistemi interni ed esterni.

Questo paradigma è essenziale per separare la sicurezza dall’hardware analogamente a come vengono separati gli stessi carichi di lavoro, rendendo i sistemi di protezione sostanzialmente indipendenti dall’ambiente operativo. Il fatto che la sicurezza agisca livello di workload contribuisce a proteggere anche contro gli eventuali spostamenti laterali effettuati dagli attaccanti, che non vengono invece ostacolati dalle sole difese perimetrali.

Evolvere l’approccio alla sicurezza per sposare l’igiene informatica

Il compromesso tra sicurezza e usabilità è un concetto da sempre familiare a chiunque lavori nell’ambito della sicurezza informatica. Disattivare le porte TCP non utilizzate ne è un classico esempio. Sebbene questa tecnica contribuisca in maniera oggettiva a bloccare il traffico illecito, può però bloccare potenzialmente anche servizi autorizzati. Analogamente, bloccare l’immagine del sistema operativo dei pc aziendali e negare agli utenti i diritti di amministratore previene azioni che possono compromettere la sicurezza, ma può allo stesso tempo ostacolare alcuni utenti nell’eseguire i propri compiti nel modo più efficiente.

La difficoltà nel trovare un giusto equilibrio rispecchia il fatto che le misure di protezione statiche non possono mai soddisfare con precisione le necessità dinamiche del momento. Ciò le rende da un lato inclini a interferire con l’esperienza utente, e dall’altro le rende insufficienti contro le minacce impreviste. Le operazioni multi-cloud vanno a sommarsi a queste problematiche, creando un ambiente più complesso e in cui una parte è al di fuori del controllo dell’organizzazione proprietaria del carico di lavoro.

Una sicurezza flessibile richiede misure in grado di adattarsi allo specifico momento. Ciò contrasta, per esempio, con un sistema di sicurezza blindato che blocchi una risorsa SaaS potenzialmente in grado di causare interruzioni o esporre a rischi. Sorge quindi la difficoltà di trovare un compromesso tra l’ottenere dal servizio il massimo valore e l’accettare i rischi che questo comporta.

È di importanza cruciale, piuttosto, adottare un approccio orientato all’igiene informatica, ovvero che preveda monitoraggio e valutazione continui dei servizi tecnologici e dell’ambiente IT complessivo. Per esempio, se viene rilevato un comportamento nocivo da parte di un’applicazione, possono essere attuate misure di blocco e quarantena della stessa. Un simile approccio elimina il tradizionale rischio di ostacolare l’innovazione a causa di un IT inflessibile, garantendo al contempo che la rinuncia ad alcuni controlli non danneggi il business.

Integrare la verificabilità fin dal primo giorno

Mano a mano che le aziende sviluppano ambienti multi-cloud, si rendono conto che il fatto che le proprie attività di governance e compliance non siano compatibili con il fatto che differenti cloud provider controllino alcune parti dell’infrastruttura. Questa realtà è più evidente che mai quando si ha la necessità di documentare e certificare davanti a terzi l’effettiva conformità delle operazioni di provider esterni alla normativa e alle procedure e requisiti di sicurezza.

In caso di audit interni, tale deficit può danneggiare significativamente l’IT; per quanto riguarda le normative esterne, può costituire un’importante passività finanziaria e operativa.

L’inevitabile realtà è che alcuni aspetti dell’infrastruttura e delle operazioni dei provider di public cloud sono semplicemente al di fuori del campo di visibilità delle aziende a cui forniscono servizi. Di conseguenza, può essere difficile, se non impossibile, inquadrare e documentare la conformità ai requisiti di igiene informatica di fronte ad audit interni o esterni.

Sebbene tale deficit sia in un certo senso inevitabile, quando valutano l’adozione di architetture multi-cloud, le organizzazioni IT dovrebbero includere la possibilità di fare audit approfonditi tra le proprie priorità. Coinvolgere il team di auditing fin dal processo di selezione e progettazione è fondamentale per evitare di incappare in situazioni problematiche in seguito. Inoltre, una simile lungimiranza protegge il business da fattori che possono compromettere la sicurezza operativa nel suo complesso.

Conclusione

Le misure per proteggere i carichi di lavoro in un mondo multi-cloud sono un’evoluzione delle best practice che le aziende hanno sviluppato nel corso di decenni. Per adeguarsi a una realtà software-defined, la sicurezza deve essere applicata a livello del carico di lavoro, mentre per garantire una maggiore flessibilità, soprattutto nel contesto multi-cloud, è necessaria una combinazione di controlli meno rigidi con iniziative di igiene informatica, che deve avere pari dignità rispetto al vecchio approccio alla sicurezza “blindata”. Inoltre, le strutture di auditing devono accompagnare il processo di adozione del cloud fin dall’inizio, per agevolare l’integrazione efficace e protetta tra un set di risorse pubbliche aperte con uno di tipo tradizionale e on-premise.

Un’adozione sicura del multi-cloud è essenziale e un approccio strutturato all’integrazione di queste architetture è la chiave per il successo. Bennett fornisce un’intuizione centrale per raggiungere l’obiettivo: “È necessario superare l’approccio di mera negoziazione con i vendor tecnologici. Ciò di cui l’azienda ha bisogno è un partner tecnologico che ascolti le esigenze aziendali di un’organizzazione e contribuisca a mapparle agli imperativi dell’IT”.