Cloud computing e cibersicurezza
Il cloud computing offre alle autorità e alle aziende risorse informatiche flessibili, ma comporta anche rischi per la sicurezza. L’UFCS illustra gli aspetti da tenere in considerazione in materia di protezione dei dati, controllo e contratti.
Il cloud computing è una forma specifica e tecnicamente avanzata di outsourcing informatico, che si basa su concetti consolidati. La valutazione tecnologica menzionata nella sezione «Ulteriori informazioni» costituisce una solida base decisionale per i responsabili IT presso autorità, aziende e istituti di istruzione.
Nozioni di base e definizioni
Il cloud computing è un modello che consente l’accesso a risorse informatiche attraverso una rete. Queste risorse non vengono acquistate, ma noleggiate.
L’UFCS basa la propria valutazione sulle cinque caratteristiche fondamentali del National Institute of Standards and Technology (NIST), riconosciute a livello mondiale:
- Accesso su richiesta (on demand)
Gli utenti possono usufruire dei servizi in qualsiasi momento senza alcun intervento manuale da parte del fornitore. - Pooling di risorse
Le risorse fisiche vengono raggruppate e assegnate in modo dinamico a più utenti. - Rapida scalabilità
È possibile modulare un adeguamento automatico alle mutate esigenze di carico. - Misurabilità
L’utilizzo delle risorse viene monitorato costantemente, consentendo una fatturazione trasparente. - Accesso tramite Internet
L’accesso di gestione avviene tramite la rete pubblica, distinguendo tra ambiente di gestione e ambiente di sistema.
Modelli di servizio e di distribuzione
La scelta del modello cloud più adatto influisce in modo determinante sulla ripartizione delle responsabilità tra fornitore e cliente:
Per quanto riguarda i modelli di distribuzione, si distingue tra cloud pubblico (infrastruttura condivisa, gestione tramite Internet) e cloud privato (hardware dedicato, accesso limitato alla gestione).
Sfide per la cibersicurezza
L’impiego dei servizi cloud comporta rischi specifici, poiché si rinuncia in parte al controllo fisico sui dati:
- Perdita di controllo
I dati non sono più sotto il controllo esclusivo dell’organizzazione. In caso di guasti, si rischia una perdita temporanea o permanente dei dati. - Vulnerabilità crittografiche
Mentre la trasmissione e l’archiviazione dei dati possono essere protette efficacemente, la protezione durante l’elaborazione nel processore rimane una sfida («confidential computing»). - Superficie di attacco - Accesso amministrativo
Poiché il sistema è spesso accessibile tramite Internet, eventuali configurazioni errate o chiavi API rubate mettono a rischio l’intera infrastruttura. - Multitenancy
A causa del «pooling» delle risorse, le vulnerabilità presenti nell’infrastruttura chiave del fornitore potrebbero potenzialmente interessare contemporaneamente molti clienti.
Linee guida per la scelta e requisiti
Per valutare se un servizio cloud sia idoneo a un progetto specifico, l’UFCS ha definito un processo di verifica in tre fasi.
Verifica giuridica
Devono essere presenti contratti relativi all’esternalizzazione dell’elaborazione dei dati (DPA). In caso di trasferimenti di dati all’estero, è indispensabile garantire un livello adeguato di protezione dei dati.
Requisiti tecnici e organizzativi
- Pianificazione d’emergenza
I dati devono poter essere esportati e salvati come backup offline (protezione contro il ransomware). - Trasparenza
Il fornitore deve documentare in modo completo le funzioni di sicurezza quali l’autenticazione a più fattori (MFA), la crittografia (TLS/VPN) e la registrazione degli accessi. - Segnalazione
È necessario disporre di una procedura trasparente per la segnalazione di incidenti e vulnerabilità.
Domande chiave
- È possibile soddisfare i requisiti di legge (ad esempio il segreto d’ufficio) relativi al trattamento dei dati? In caso negativo, è necessario rinunciare al cloud.
- Quanto è urgente l’applicazione? È necessario tenere conto della necessità di disporre di una connessione Internet stabile.
- Quanto sono gravi le conseguenze di una perdita di dati o di un accesso non autorizzato?
- La propria struttura IT dispone della maturità necessaria per gestire il monitoraggio più complesso dell’ambiente cloud?