Che cos'è la sicurezza multi-cloud?

Poiché le organizzazioni adottano sempre più un modello multi-cloud ibrido per gestire le proprie attività, la loro sfida consiste nel proteggere i carichi di lavoro per garantire la conformità con le crescenti norme sulla protezione dei dati e la sicurezza del governo e del settore. La protezione del volume crescente dei carichi di lavoro in locale e in cloud è essenziale per la conformità e per rimanere competitivi. Anche la definizione e l'applicazione di policy di sicurezza coerenti su macchine virtuali, container e Kubernetes sono fondamentali per mantenere l’efficienza, poiché le metodologie di integrazione continua/sviluppo continuo (CI/CD) con i team di sviluppo software DevOps e DevSecOps diventano la norma.

Le organizzazioni che adottano servizi cloud devono comprendere che, sebbene i fornitori di servizi cloud mantengano la responsabilità della sicurezza dell'infrastruttura che mettono a disposizione, dell'affidabilità e dell'accordo sul livello di servizio, spesso definito "sicurezza del cloud", non sono responsabili per la sicurezza dei dati che i clienti cloud archiviano ed elaborano nella loro infrastruttura, spesso definita "sicurezza nel cloud". Il modello di responsabilità condivisa attribuisce la responsabilità della protezione dei dati, delle chiavi crittografiche che proteggono i dati e dei controlli di accesso al titolare dei dati.

Una strategia di sicurezza multi-cloud efficace (che includa componenti in locale) dovrebbe essere unificata e coerente, oltre a offrire visibilità e controllo per tutte le risorse crittografiche con una gestione integrata della conformità. La strategia deve proteggere chiavi, dati e carichi di lavoro critici ovunque si trovino o ovunque potrebbero trovarsi, con una crittografia avanzata e una gestione centralizzata delle chiavi. Deve applicare le politiche di sicurezza ed essere conforme agli audit trail per la segnalazione e la correzione. L'automazione della sicurezza e della conformità è fondamentale per stabilire la coerenza e ridurre l'errore umano.

Sebbene vi siano molti aspetti da considerare per fornire una sicurezza multi-cloud completa, è opportuno evitare soluzioni specifiche che soddisfano solo determinati requisiti, poiché la loro implementazione introdurrà ulteriori complessità e difficoltà di gestione. Una gestione centralizzata con un modello di archiviazione decentralizzato ridurrà i rischi e favorirà la conformità.

Una strategia multi-cloud offrirà alle organizzazioni una serie di vantaggi:

• Flessibilità: le organizzazioni possono mantenere la flessibilità, consentendo loro di aumentare la capacità e adattarsi ai vari sistemi in cloud
• Resilienza: i fornitori di servizi cloud sono estremamente resilienti e dispongono di schemi di ridondanza e ripristino di emergenza ben strutturati in più regioni. Tuttavia, se un carico di lavoro che risiede in un CSP viene compromesso o va offline, una soluzione multi-cloud ti offre un'alternativa. Perché mettere tutte le uova nello stesso paniere?
• Scelta: consente ai motori economici di un'organizzazione di scegliere il CSP più adatto alla loro attività. Un singolo CSP ti vincola al loro portafoglio di prodotti, prestazioni, latenza, termini e condizioni commerciali e modus operandi.
• Controllo: possibilità di scegliere soluzioni multi-cloud indipendenti come HSM as a service che non sono vincolate a un CSP specifico. Ciò fornisce il massimo controllo dei tuoi servizi crittografici e la libertà di scegliere l’integrazione con qualsiasi CSP.

In definitiva, la sicurezza multi-cloud si riduce a pianificazione, politiche coerenti, gestione unificata, visibilità e automazione. L'applicazione di queste best practice garantirà alla tua soluzione di:

• Proteggi chiavi, dati e carichi di lavoro sensibili
• Convalida l'autenticità e l'integrità del codice
• Proteggi da configurazioni errate involontarie o intenzionali
• Fornisci una root of trust per la generazione e la gestione del ciclo di vita delle chiavi
• Gestisci i privilegi di utenti finali e container
• Garantisci il rispetto delle normative sulla sicurezza

Per semplificare la gestione dei carichi di lavoro crittografati negli ambienti ibridi e multi-cloud, il ciclo di vita delle chiavi di crittografia deve essere automatizzato, come anche la loro creazione, archiviazione, backup, distribuzione, alternanza e revoca. Ove possibile, le organizzazioni dovrebbero adottare un approccio bring your own key (BYOK) per generare, gestire e utilizzare le proprie chiavi di crittografia tra i diversi provider di servizi cloud. Le soluzioni di gestione delle chiavi dovrebbero sempre isolare le chiavi dai dati crittografati per ridurre i rischi e garantire la conformità. I moduli di sicurezza hardware (HSM) forniscono una root of trust per la generazione, la protezione e la gestione del ciclo di vita delle chiavi di crittografia.

Per portare tutto questo in un framework unificato che garantisca una corretta posizione di sicurezza e conformità, è essenziale disporre di controlli centralizzati di autenticazione, autorizzazione e audit. Con queste misure in atto, le organizzazioni saranno in grado di ridurre i rischi e le spese operative generali. Seguendo queste best practice per la sicurezza e la conformità, è possibile rendere sicuro il percorso verso un ambiente ibrido e multi-cloud.

Ulteriori informazioni sulla sicurezza multi-cloud.