Cloud Compliance

La conformità nel cloud è la disciplina che dimostra come dati, carichi di lavoro e relativi controlli nei servizi cloud soddisfino i requisiti applicabili all'organizzazione. Comprende leggi come GDPR, HIPAA o LGPD, impegni contrattuali come PCI DSS e framework di valutazione come ISO 27001 e SOC 2. Spostare i sistemi presso un fornitore cloud cambia dove girano i controlli, non gli obblighi.

Ciò che va controllato dipende dal modello di servizio. Nell'infrastructure as a service il cliente configura sistemi operativi, applicazioni e impostazioni dei dati, quindi la maggior parte dei requisiti si applica direttamente. Nel software as a service il fornitore gestisce la piattaforma, mentre il cliente governa identità, impostazioni di condivisione e ciò che gli utenti possono esportare. In ogni modello i dati regolamentati restano responsabilità del cliente.

Ogni grande fornitore pubblica un modello di responsabilità condivisa. Il fornitore risponde del cloud in sé: hardware, sicurezza fisica e disponibilità. Il cliente risponde della sicurezza e della conformità nel cloud: classificazione dei dati, decisioni di accesso, configurazione e attività degli utenti. Le certificazioni del fornitore coprono solo il suo lato di questa linea, mai quello del cliente.

La ripartizione conta perché i regolatori chiamano in causa il titolare dei dati. Un'autorità di vigilanza non accetta « il fornitore era certificato » come risposta quando la causa è un bucket di archiviazione configurato male, un link di condivisione aperto a chiunque o un dipendente che esporta registrazioni su un account personale. Il lavoro di conformità inizia proiettando la matrice di responsabilità di ogni servizio sugli obblighi dell'organizzazione e chiudendo le lacune lato cliente: identità, configurazione, logging e gestione dei dati.

Il diritto sulla protezione dei dati segue i dati, non l'infrastruttura. Con il GDPR, usare un fornitore cloud crea un rapporto di responsabile del trattamento: servono un accordo di trattamento, subresponsabili documentati e garanzie di trasferimento quando i dati escono dalla regione. HIPAA richiede un accordo di business associate prima che le informazioni sanitarie protette tocchino i servizi del fornitore.

Ne derivano due doveri. Il primo è sapere quali dati regolamentati esistono e dove si trovano: quali servizi li conservano, in quali regioni e con quali accordi. È impossibile senza classificazione e senza un inventario dei servizi che includa anche lo Shadow IT, cioè gli strumenti adottati dai dipendenti di propria iniziativa. Il secondo è controllare i flussi. Dati regolamentati che escono dal perimetro approvato tramite un account non autorizzato o una condivisione indirizzata male sono un evento di conformità e possono anche configurare una violazione dei dati, anche senza intento doloso.

I framework forniscono il vocabolario con cui la conformità viene dimostrata a clienti, auditor e regolatori. I più richiesti sono elencati qui sotto.

Un fornitore cloud non riduce il perimetro di PCI DSS: l'ambiente dei dati di titolari di carta va valutato ovunque sia in esecuzione.

L'audit nel cloud si sviluppa su due livelli. Dal lato del fornitore si basa sulle sue attestazioni, come il report SOC 2 e il certificato ISO 27001. Dal lato del cliente si basa sulle prove che l'organizzazione produce da sé: baseline di configurazione, revisioni degli accessi, log di attività e registri degli incidenti.

Il monitoraggio continuo della conformità sostituisce la fotografia annuale. Poiché gli ambienti cloud cambiano ogni giorno, gli auditor si aspettano prove generate automaticamente: avvisi sulle deviazioni di configurazione, tracce di audit complete su chi ha fatto cosa in ogni servizio e report su richiesta. Il lato del cliente segue di solito quattro passi:

1. 1

   Baseline

   Registrare la configurazione approvata di ogni servizio cloud e confrontare ogni modifica con essa.

2. 2

   Revisione accessi

   Verificare chi può raggiungere ogni servizio e rimuovere gli account che non hanno più un responsabile.

3. 3

   Conservare la traccia

   Conservare chi ha fatto cosa in ogni servizio, con orario e oggetto, per il tempo richiesto dalla policy.

4. 4

   Report su richiesta

   Preparare le prove per l'auditor dai registri conservati, non dalla memoria.

In Anexet questo controllo avviene sulla postazione: le impostazioni del controllo dello storage cloud nel profilo dell'agente definiscono per ogni servizio il livello di accesso, la modalità di audit e la copia ombra.

Nella pratica un programma mette insieme pochi elementi: un inventario dei servizi cloud effettivamente in uso, compresi quelli non autorizzati; la classificazione dei dati che li raggiungono; la mappatura dei controlli su ogni framework applicabile, così che un controllo soddisfi più requisiti; l'applicazione sui canali da cui i dati entrano ed escono dai servizi; e la raccolta di prove che rende tutto dimostrabile su richiesta.

Nessuno di questi elementi è specifico di una sola norma. Gli obblighi si moltiplicano, con una nuova legge sulla privacy, un nuovo contratto o una nuova versione di un framework, mentre i controlli sottostanti cambiano raramente. Le organizzazioni che mantengono inventario, classificazione, applicazione e traccia di audit assorbono ogni nuovo requisito proiettandolo su controlli già esistenti. La parte di protezione di questo lavoro è trattata in Sicurezza dei Dati nel Cloud.

Per approfondire: Utilizza il sistema DLP Anexet Ultimate per la conformità al GDPR.