Cosa copre la sicurezza dei dati nel cloud
La sicurezza dei dati nel cloud copre i dati in tre stati. I dati a riposo stanno nello storage cloud e nei servizi di collaborazione. I dati in transito si spostano tra dispositivi, rete aziendale e questi servizi. Il piano di controllo include account, ruoli, chiavi e logging. È questo a decidere chi raggiunge i dati e se l'accesso può essere dimostrato.
L'ambito dipende dal modello di servizio. Nell'infrastruttura come servizio il cliente gestisce sistemi operativi, applicazioni e la maggior parte delle impostazioni del livello dati. Nel software come servizio il provider gestisce quasi tutto, mentre il cliente si occupa soprattutto delle identità e di ciò che gli utenti possono fare. Più il provider possiede, più il rischio si riduce a configurazione e comportamento degli utenti.
Controllo dei caricamenti per servizio cloud
Ogni servizio di cloud storage, versione web inclusa, può essere impostato in modalità accesso, audit o shadow copy. Il modulo di controllo dello storage cloud applica queste modalità separatamente a ogni servizio.
1 / 2
Il modello di responsabilità condivisa
Ogni grande provider pubblica un modello di responsabilità condivisa. Il provider è responsabile del cloud in sé: hardware, sicurezza fisica e disponibilità. Il cliente resta responsabile dei dati nel cloud: classificazione, decisioni di accesso, configurazione e ciò che gli utenti fanno nei servizi. Nessun provider copre un contenitore lasciato pubblico, un link di condivisione indirizzato male o un dipendente che esporta dati su un account personale.
La maggior parte degli incidenti sui dati nel cloud non nasce da un guasto del provider. Nasce quando il cliente presume che il provider abbia gestito qualcosa che spettava al cliente. Il primo passo di ogni programma è riportare la matrice di responsabilità di ciascun servizio sui controlli dell'organizzazione.
Errata configurazione: il guasto più comune
L'errata configurazione è costantemente la prima causa di esposizione dei dati nel cloud. Gli ambienti cloud cambiano più in fretta dei cicli di revisione, le risorse vengono create per uno sprint o una migrazione e l'eccezione diventa permanente. Gli schemi ricorrenti:
| Schema | Cosa succede |
|---|---|
| Storage pubblico | Contenitori in lettura pubblica, spesso dimenticati dopo una condivisione una tantum |
| Condivisione troppo permissiva | Link aperti a chiunque abbia il link, invece che a destinatari nominati |
| Credenziali esposte | Chiavi di accesso e token API nei repository o negli script |
| Logging disattivato | Audit logging disattivato per impostazione predefinita o per risparmiare |
| Privilegi permanenti | Diritti di amministratore permanenti invece di un accesso limitato nel tempo |
Shadow SaaS e servizi non autorizzati
I dipendenti adottano i servizi cloud più in fretta di quanto i team di sicurezza possano approvarli, e questo scarto è il cuore dello shadow IT. Esempi: un'app di note, o un account personale di cloud storage usato per spostare un file grande su una connessione lenta. Lo shadow SaaS raramente è doloso, è comodità. Ogni servizio non autorizzato, però, è un canale attraverso cui i dati aziendali escono dal perimetro approvato, fuori dalle sue regole di logging e conservazione.
La difficoltà è la visibilità. Un servizio nel browser sembra normale traffico web, un client di sincronizzazione sembra una qualunque app. I programmi combinano l'inventario di ciò che è in uso, una policy su ciò che è accettabile e controlli sul trasferimento stesso. L'obiettivo è rilevare quando dati di lavoro vengono caricati su un servizio non autorizzato.
Approcci di controllo
In questo ambito operano diverse famiglie di controlli, tra cui il Cloud DLP e il DLP per endpoint. Un programma maturo di solito ne richiede più d'uno, perché ciascuno vede una parte diversa del problema:
| Controllo | Cosa copre |
|---|---|
| Cloud access security broker (CASB)Scoperta e policy | Individua i servizi in uso e applica la policy ai trasferimenti |
| Controlli nativi del providerImpostazioni della piattaforma | Cifratura, chiavi, policy di accesso e log di ogni piattaforma |
| Cloud DLPIspezione del contenuto | Ispeziona il contenuto di un file, non solo la sua destinazione |
| Controlli basati sugli endpointOrigine del caricamento | Osservano i caricamenti alla fonte, anche via browser |
| Gestione di identità e accessiChi può aprire i dati | Limita chi può aprire i dati nel cloud e da dove |
Da dove iniziare
Inizia dai servizi che già custodiscono i dati più sensibili, poi mappa i canali di caricamento che i dipendenti usano davvero. Un elenco di controlli scritto in una volta sola per tutti i servizi cloud tende a bloccare il lavoro ordinario e finisce disattivato. Anexet DLP applica questi controlli sull'endpoint, dove inizia il caricamento, e mantiene la traccia di audit nell'infrastruttura del cliente.
Per approfondire: Sistemi DLP — che cosa sono e come funzionano; Il concetto di “Zero Trust”.
Una fuga dal cloud raramente sembra un'intrusione. Sembra un caricamento che qualcuno ha ritenuto di routine.
Anexet TeamCome Anexet affronta questo
Anexet affronta la sicurezza dei dati nel cloud dall'endpoint, non dal lato cloud. Gli agent sulle workstation monitorano e controllano ciò che viene caricato sui servizi di cloud storage, client di sincronizzazione desktop e uso via browser, prima che i dati lascino il dispositivo:
Il prodotto gira interamente on-premise, quindi i dati di monitoraggio stessi, trasferimenti acquisiti, incidenti e storico di audit, restano sull'infrastruttura del cliente. Anexet non analizza i dati già archiviati nei servizi cloud e non è un deployment cloud; il suo punto di leva sta dove i dati aziendali diventano un upload.
Controllo dei caricamenti per servizio
le applicazioni di cloud storage e le loro versioni web sono monitorate per servizio, con modalità di accesso, audit e shadow copy, così i caricamenti di contenuti riservati verso storage non autorizzati vengono fermati sull'endpoint.
Decisioni basate sul contenuto
i trasferimenti sono valutati per contenuto, thesaurus di sicurezza (170 dizionari pronti), banche di hash, librerie di impronte digitali ed etichette di riservatezza Microsoft, così la policy agisce sui dati sensibili ovunque vengano caricati.
Blocco, quarantena e traccia di audit completa
a seconda della regola, un caricamento viene bloccato, messo in quarantena per revisione o registrato con una traccia di audit completa e attribuibile che copre utente, timestamp, canale e azione.
Visibilità sullo shadow SaaS
l'inventario delle applicazioni installate e la categorizzazione di siti e applicazioni rivelano quali servizi cloud sono davvero in uso, il quadro di strumenti autorizzati e non che una policy richiede.
Anexet DLP
Scopri di più