I 7 peccati mortali per la sicurezza del cloud e come le PMI possono fare le cose meglio

Sicurezza aziendale

Eliminando questi errori e punti ciechi, la tua organizzazione può compiere passi da gigante verso l'ottimizzazione dell'uso del cloud senza esporsi a rischi informatici

Phil Muncaster

Gennaio 16 2024  · XNUMX€  , 5 minuto. leggere

Il cloud computing è una componente essenziale del panorama digitale odierno. Oggi è più probabile che l'infrastruttura IT, le piattaforme e il software vengano forniti come servizio (da qui gli acronimi IaaS, PaaS e SaaS, rispettivamente) rispetto a una tradizionale configurazione on-premise. E questo piace più alle piccole e medie imprese (PMI) che alla maggior parte delle altre.

Il cloud offre l'opportunità di livellare il campo di gioco con rivali più grandi, consentendo una maggiore agilità aziendale e una rapida scalabilità senza spendere una fortuna. Questo potrebbe essere il motivo per cui il 53% delle PMI globali intervistate in a recente rapporto affermano di spendere oltre 1.2 milioni di dollari all’anno per il cloud; rispetto al 38% dello scorso anno.

Tuttavia, la trasformazione digitale comporta anche dei rischi. La sicurezza (72%) e la conformità (71%) sono la seconda e la terza sfida principale del cloud più comunemente citate dalle PMI intervistate. Il primo passo per affrontare queste sfide è comprendere i principali errori che le piccole imprese commettono con le loro implementazioni cloud.

I sette principali errori di sicurezza cloud commessi dalle PMI

Cerchiamo di essere chiari: quelli che seguono non sono solo errori commessi dalle PMI nel cloud. Anche le imprese più grandi e dotate di risorse a volte sono colpevoli di dimenticare gli aspetti fondamentali. Ma eliminando questi punti ciechi, la tua organizzazione può compiere passi da gigante verso l’ottimizzazione dell’uso del cloud, senza esporsi a rischi finanziari o reputazionali potenzialmente gravi.

1. Nessuna autenticazione a più fattori (MFA)

Le password statiche sono intrinsecamente insicure e non tutte le aziende si attengono ad a politica di creazione di password valide. Le password possono essere rubati in vari modi, ad esempio tramite phishing, metodi di forza bruta o semplicemente indovinati. Ecco perché è necessario aggiungere un ulteriore livello di autenticazione in MFA renderà molto più difficile per gli aggressori accedere alle app degli account SaaS, IaaS o PaaS dei tuoi utenti, mitigando così il rischio di ransomware, furto di dati e altri possibili risultati. Un'altra opzione prevede il passaggio, ove possibile, a metodi di autenticazione alternativi come autenticazione senza password.

2. Riporre troppa fiducia nel cloud provider (CSP)

Molti leader IT ritengono che investire nel cloud significhi effettivamente esternalizzare tutto a una terza parte fidata. Questo è vero solo in parte. In effetti, c'è un modello di responsabilità condivisa per la protezione del cloud, suddivisi tra CSP e cliente. Ciò di cui dovrai occuparti dipenderà dal tipo di servizio cloud (SaaS, IaaS o PaaS) e dal CSP. Anche quando la maggior parte della responsabilità spetta al fornitore (ad esempio, in SaaS), potrebbe essere vantaggioso investire in ulteriori controlli di terze parti.

3. Impossibile eseguire il backup

Come sopra, non dare mai per scontato che il tuo fornitore di servizi cloud (ad esempio, per i servizi di condivisione/archiviazione di file) ti dia le spalle. Vale sempre la pena pianificare lo scenario peggiore, che molto probabilmente sarà un guasto del sistema o un attacco informatico. Non sono solo i dati persi ad avere un impatto sulla tua organizzazione, ma anche i tempi di inattività e il calo di produttività che potrebbero seguire a un incidente.

4. Impossibile patchare regolarmente

Se non applichi le patch, esponi i tuoi sistemi cloud allo sfruttamento delle vulnerabilità. Ciò a sua volta potrebbe causare infezioni da malware, violazioni dei dati e altro ancora. La gestione delle patch è una best practice fondamentale per la sicurezza, rilevante tanto nel cloud quanto in locale.

5. Configurazione errata del cloud

I CSP sono un gruppo innovativo. Ma l’enorme volume di nuove funzionalità e funzionalità lanciate in risposta al feedback dei clienti può finire per creare un ambiente cloud incredibilmente complesso per molte PMI. Rende molto più difficile sapere quale configurazione è la più sicura. Gli errori comuni includono configurazione dell'archiviazione nel cloud quindi qualsiasi terza parte può accedervi e non riesce a bloccare le porte aperte.

6. Non monitorare il traffico cloud

Un ritornello comune è che oggi non è più una questione di “se”, ma di “quando” il tuo ambiente cloud (IaaS/PaaS) viene violato. Ciò rende fondamentale il rilevamento e la risposta rapidi se si vogliono individuare tempestivamente i segnali e contenere un attacco prima che abbia la possibilità di avere un impatto sull’organizzazione. Ciò rende necessario un monitoraggio continuo.

7. Impossibile crittografare i gioielli della corona aziendale

Nessun ambiente è a prova di violazione al 100%. Cosa succede quindi se un soggetto malintenzionato riesce a raggiungere i vostri dati interni più sensibili o le informazioni personali altamente regolamentate di dipendenti/clienti? Crittografandolo a riposo e in transito, ti assicurerai che non possa essere utilizzato, anche se ottenuto.

Ottenere la giusta sicurezza nel cloud

Il primo passo per affrontare questi rischi per la sicurezza del cloud è capire quali sono le proprie responsabilità e quali aree saranno gestite dal CSP. Quindi si tratta di valutare se ti fidi dei controlli di sicurezza nativi del cloud del CSP o se desideri migliorarli con ulteriori prodotti di terze parti. Considera quanto segue:

• Investire in soluzioni di sicurezza di terze parti per migliorare la sicurezza e la protezione del cloud per le applicazioni di posta elettronica, archiviazione e collaborazione, oltre alle funzionalità di sicurezza integrate nei servizi cloud offerti dai principali fornitori di servizi cloud a livello mondiale
• Aggiungi strumenti di rilevamento e risposta (XDR/MDR) estesi o gestiti per favorire una risposta rapida agli incidenti e il contenimento/riparazione delle violazioni
• Sviluppare e implementare un programma di patching continuo basato sul rischio basato su una solida gestione delle risorse (ovvero, sapere quali risorse cloud disponi e quindi assicurarti che siano sempre aggiornate)
• Crittografa i dati inattivi (a livello di database) e in transito per garantire che siano protetti anche se i malintenzionati se ne impossessano. Ciò richiederà anche un’efficace e continua individuazione e classificazione dei dati
• Definire una chiara politica di controllo degli accessi; imposizione di password complesse, MFA, principi di privilegio minimo e restrizioni/elenco consentiti basati su IP per IP specifici
• Considera l'adozione di un Approccio Zero Trust, che incorporerà molti degli elementi di cui sopra (MFA, XDR, crittografia) insieme alla segmentazione della rete e ad altri controlli

Molte delle misure di cui sopra sono le stesse best practice che ci si aspetterebbe di implementare in locale. E lo sono ad alto livello, anche se i dettagli saranno diversi. Ancora più importante, ricorda che la sicurezza del cloud non è solo responsabilità del fornitore. Prendi il controllo oggi per gestire meglio il rischio informatico.