La sicurezza del datacenter all'ombra della "nuvola" Come scongiurare il maltempo?

Transcript

1 La sicurezza del datacenter all'ombra della "nuvola" Come scongiurare il maltempo? Luca Bechelli & Riccardo Morsicani Security Summit - Bari

2 La sicurezza del datacenter all'ombra della "nuvola" Come scongiurare il maltempo? Luca Bechelli 2

3 Si fa presto a dire Cloud 3

4 Si fa presto a dire Cloud Strategie per il Cloud in Italia 29% 71% Fonte: Ha attuato strategie Cloud o le attuerà nel 2013 Non ha attuato strategie Cloud e non lo farà nell anno 4

5 Si fa presto a dire Cloud Modelli di Cloud per le aziende italiane Modelli di cloud computing Privato 21% Ibrido Pubblico 56% 16% 8% Community cloud Numero rispondenti = Utilizzatori effettivi 19% Privato Fonte: Numero rispondenti = % 8% 22% Ibrido Pubblico Community 5

6 Si fa presto a dire Cloud Modelli di Cloud per le aziende italiane liberi professionisti startup 32% 25% 23% 45% 7% 17% 41% 11% Numero rispondenti = 348 Numero rispondenti = 169 PMI grandi aziende 26% 27% 24% 30% 43% 7% 36% 7% Numero rispondenti = 291 Numero rispondenti = 192 Fonte: Non abbiamo piani in merito Stiamo ideando una strategia Abbiamo adottato una strategia cloud Adotteremo una strategia nel

7 Quanto c è, realmente, di Cloud nelle aziende italiane?!al di la della strategia scelta, quanta parte del proprio budget le aziende italiane scelgono di dedicare al Cloud? 64% meno del 5% 23% tra 5% ed il 20% 8% tra 20% e 35% 3% tra 35% e 50% 2% oltre il 50% Fonte: 7 CHI SIAMO Enter the Cloud è un blog d informazione nato per condividere notizie ed es computing, dell hosting, della virtualizzazione e del panorama ICT nazionale e È prodotto da Enter, società di telecomunicazioni e strategia digitale che offr Enter the Cloud non è un sito di prodotto. Il blog ambisce a diventare punto di riferimento per la ricerca di informazioni n sono trattati sotto il profilo dell attualità, della tecnologia e delle novità di merc sotto forma di news, recensioni e confronti tra prodotti, report di eventi, pare interviste a personaggi che il cloud l hanno applicato o lo stanno sperimentand

8 Servizi Cloud nelle aziende italiane Storage Mail Software Desktop Virtualization Conservazione Sostitutiva CRM e-commerce Capacità di Calcolo Web Analytics ERP UCC HR SFA 23% 21% 19% 16% 13% 12% 9% 7% 5% 28% 32% 45% 56% Fonte: CHI SIAMO Enter the Cloud è un blog d informazione nato per condividere notizie ed esperienze sul mondo del cloud computing, dell hosting, della virtualizzazione e del panorama ICT nazionale e internazionale. È prodotto da Enter, società di telecomunicazioni e strategia digitale che offre servizi cloud: ciò premesso, Enter the Cloud non è un sito di prodotto. Il blog ambisce a diventare punto di riferimento per la ricerca di informazioni nel settore cloud. Gli argomenti sono trattati sotto il profilo dell attualità, della tecnologia e delle novità di mercato. I contenuti sono proposti sotto forma di news, recensioni e confronti tra prodotti, report di eventi, pareri degli esperti, infografiche e interviste a personaggi che il cloud l hanno applicato o lo stanno sperimentando. Il progetto si rivolge ad appassionati del settore ICT, a manager e CIO attenti alle ultime tendenze e alle esperienze di rilievo, così come ad utenti meno esperti in cerca di contenuti for dummies e informazioni di base. 8

9 Quali Modelli di Servizio Cloud nelle aziende italiane? Guardare qui per andare al cuore dell azienda!! 43% 35% 22% SaaS IaaS PaaS Fonte: 9 CHI SIAMO Enter the Cloud è un blog d informazione nato per condividere notizie ed es computing, dell hosting, della virtualizzazione e del panorama ICT nazionale e È prodotto da Enter, società di telecomunicazioni e strategia digitale che offr Enter the Cloud non è un sito di prodotto. Il blog ambisce a diventare punto di riferimento per la ricerca di informazioni n sono trattati sotto il profilo dell attualità, della tecnologia e delle novità di merc sotto forma di news, recensioni e confronti tra prodotti, report di eventi, pare interviste a personaggi che il cloud l hanno applicato o lo stanno sperimentand

10 Scenario, in sintesi! Il Cloud raccoglie un interesse molto vasto, ma la sua piena adozione tra le aziende è ancora scarsa 29% 71% 10

11 Scenario, in sintesi! Il Cloud raccoglie un interesse molto vasto, ma la sua piena adozione tra le aziende è ancora scarsa! L importanza e la centralità del datacenter tradizionale non è variata 11

12 Scenario, in sintesi! Il Cloud raccoglie un interesse molto vasto, ma la sua piena adozione tra le aziende è ancora scarsa! L importanza e la centralità del datacenter tradizionale non è variata! Le iniziative di Osservatorio del Politecnico di Milano sulla nuvola: Visto così [il Cloud] si tratta di un cambiamento interno ai sistemi informativi che va in assoluta continuità con i trend di virtualizzazione e orientamento delle architetture ai servizi che, seppur rilevanti dal punto di vista tecnico, non modificano il ruolo né le professionalità della direzione Ict. cbritaly.it. consolidamento passano sotto il nome di Cloud, ma solo sotto i risvolti tecnici... 12

13 Quali domande porsi! Il Cloud raccoglie un interesse molto vasto, ma la sua piena adozione tra le aziende è ancora scarsa! L importanza e la centralità del datacenter tradizionale non è variata! Le iniziative di consolidamento passano sotto il nome di Cloud, ma solo per gli aspetti tecnici... In questo scenario: -Quali benefici di sicurezza posso ottenere da un evoluzione verso un vero Cloud? -Cosa devo migliorare? -Come faccio a non compromettere il mio sistema di gestione della sicurezza delle informazioni? 13

14 Le opportunità del Cloud per la sicurezza! Il 56% delle aziende italiane che hanno adottato una strategia Cloud prediligono i servizi di Storage: tale tendenza è verificabile anche dalle esigenze di sicurezza percepite: 4% 24% 72% Indagine CA Insights: Data Protection and the Cloud 2011 su un campione di 2000 aziende (10% italiane) 14 Ha perso informazioni importati per guasti allo di storage o al SW Ha perso informazioni importanti (altre cause) Non ha perso informazioni importanti

15 !Multi-Tenancy Le opportunità del Cloud per la sicurezza addiritura essere la medesima impresa, come il caso di diverse unità produttive invece di diverse entita organizzative, ma condividerebbero ancora l infrastruttura. Figura 2: Schema della multi-tenancy Fonte: Guida alla sicurezza per Aree di criticità nel Cloud Computing V2.1 - CSA Italy Chapter Dalla prospettiva di un fornitore di servizi, la multi-tenancy suggerisce un approccio architetturale e di progetto che abilita le economie di scala, la disponibilità, la 15

16 Le opportunità del Cloud per la sicurezza!cloud Pubblico: " Più in generale, il Cloud Pubblico offre una risposta efficace nei seguenti ambiti: Disponibilità dei dati: sopratutto per PMI es: Cloud Storage, Disponibilità dei servizi: per PMI e grandi aziende es: Software, Desktop Virtualization, Posta Elettronica, UCC,... Riservatezza dei dati: per PMI, in casi specifici es: Strong Authentication per la Posta e l accesso al Cloud Storage 16

17 Le opportunità del Cloud per la sicurezza!cloud Privato: " Anche il Cloud Privato offre vantaggi nei seguenti ambiti Disponibilità dei servizi es: Software, Capacità di Calcolo, , UCC, Desktop Virtualization, UCC,... Disponibilità dei Dati es: Cloud Storage, , UCC, Conservazione Sostitutiva,... Riservatezza ed Integrità: il beneficio non è diretto, ma l azienda può, complice il consolidamento dei servizi sulla nuvola, introdurre meccanismi di accesso e protezione dei dati più robusti, con costi di integrazione e gestione più bassi 17

18 Le opportunità del Cloud!Cloud Pubblico,Privato, Ibrido, di Community: per la sicurezza 56% 45% 44% 39% Aspetti (in genere...) non decisivi per orientare la scelta del Business: -Disaster Recovery -Business Continuity -Risk Sharing -... Accesso alle risorse in remoto Risparmio costi infrastruttura Flessibilità e scalabilità 20% Risparmio costi operativi Fonte: Maggiore Sicurezza CHI SIAMO Enter the Cloud è un blog d informazione nato per condividere notizie ed esperienze sul mondo del cloud computing, dell hosting, della virtualizzazione e del panorama ICT nazionale e internazionale. È prodotto da Enter, società di telecomunicazioni e strategia digitale che offre servizi cloud: ciò premesso, Enter the Cloud non è un sito di prodotto. Il blog ambisce a diventare punto di riferimento per la ricerca di informazioni nel settore cloud. Gli argomenti sono trattati sotto il profilo dell attualità, della tecnologia e delle novità di mercato. I contenuti sono proposti sotto forma di news, recensioni e confronti tra prodotti, report di eventi, pareri degli esperti, infografiche e interviste a personaggi che il cloud l hanno applicato o lo stanno sperimentando. Il progetto si rivolge ad appassionati del settore ICT, a manager e CIO attenti alle ultime tendenze e alle esperienze di rilievo, così come ad utenti meno esperti in cerca di contenuti for dummies e informazioni di base. 18

19 Ambiti di Miglioramento! Il Cloud raccoglie un interesse molto vasto, ma la sua piena adozione tra le aziende è ancora scarsa! L importanza e la centralità del datacenter tradizionale non è variata! Le iniziative di consolidamento passano sotto il nome di Cloud, ma solo sotto i risvolti tecnici... In questo scenario: -Quali benefici di sicurezza posso ottenere da un evoluzione verso un vero Cloud? -Cosa devo migliorare? -Come faccio a non compromettere il mio sistema di gestione della sicurezza delle informazioni? 19

20 Pronti per il Cloud? Fattori Abilitanti per l ICT * * * (*) Report sul Cloud della School of Management - Politecnico di Milano 20

21 Pronti per il Cloud? Cosa ne pensano le imprese italiane... Cosa Frena il Cloud in Italia: La sicurezza non Percorso è mai stata così Professionale- abilitante per Legale al Security l ICT!!! Summit :-) 40% 44% 49% 50% 18% 29% Fare un giro al Security 33% Summit :-) Fonte: CHI SIAMO Ridotto Controllo Problemi Connettività Privacy Sicurezza Ridotta Preparazione R.U. 10% Nessun Problema 17% 0% Enter the Cloud è un blog d informazione nato per condividere notizie ed esperienze sul mondo del cloud computing, dell hosting, della virtualizzazione e del panorama ICT nazionale e internazionale. È prodotto da Enter, società di telecomunicazioni e strategia digitale che offre servizi cloud: ciò premesso, Enter the Cloud non è un sito di prodotto. Il blog ambisce a diventare punto di riferimento per la ricerca di informazioni nel settore cloud. Gli argomenti sono trattati sotto il profilo dell attualità, della tecnologia e delle novità di mercato. I contenuti sono proposti sotto forma di news, recensioni e confronti tra prodotti, report di eventi, pareri degli esperti, infografiche e interviste a personaggi che il cloud l hanno applicato o lo stanno sperimentando. Il progetto si rivolge ad appassionati del settore ICT, a manager e CIO attenti alle ultime tendenze e alle esperienze di rilievo, così come ad utenti meno esperti in cerca di contenuti for dummies e informazioni di base. 21

22 Sicurezza nel Cloud - la buona notizia è... Security controls in cloud computing are, for the most part, no different than security controls in any IT environment (I controlli di sicurezza in ambito cloud non differiscono, la maggior parte delle volte, dai controlli in un qualunque ambiente IT)*. (*)CSA Cloud Security Guidance 22

23 Ambiti di miglioramento per la Sicurezza Fattori Abilitanti (per l ICT): Ambiti di Miglioramento (per la Security): * * }! Relazione con i Processi di Business * }! Evoluzione del Sistema di Gestione della Sicurezza (*) Report sul Cloud della School of Management - Politecnico di Milano 23

24 Relazione con i Processi di Business - 1 " Integrazione con i processi di Demand e Change Management " Intesificazione del ruolo di regolamentazione e verifica delle politiche (rinunciando, se necessario, alle competenze operative) selezionando soluzioni turn key (per gli altri...), che soddisfano criteri di separazione dei ruoli tra le strutture dell azienda (es: privilege management, virtualization security management, security change management...) 24

25 Relazione con i Processi di Business - 2 " Integrazione con i prodotti di quality management e workflow management delle aree di business (più o meno tutto ciò che posso chiamare GRC o Compliance Management ) " Gestione dei contratti (di acquisto, di servizio, di supporto / maintenance,...): Implica una maggiore partecipazione e coinvolgimento della Sicurezza Prevede nuove forme di controllo verso il fornitore Impone una revisione delle forme contrattuali (es: P.A.) Può prevedere nuove forme di gestione delle responsabilità e di condivisione del Rischio 25

26 Relazione con i Processi di Business - 3 " Personalizzazione / adozione degli strumenti di monitoraggio e controllo Metodologie di Security Assessment e Audit SOC es: SIEM, Log Manager, GRC, Compliance Management,... " Predisporre / evolvere il sistema di Incident Handling " Personalizzazione delle metodologie di valutazione e gestione del rischio devono essere facili/veloci e devono produrre decisioni 26

27 Risk Management nel Cloud However, because of the cloud service models employed, the operational models, and the technologies used to enable cloud services, cloud computing may present different risks to an organization than traditional IT solutions (Comunque, a causa dei diversi modelli di servizio, modelli operativi e le tecnologie utilizzate per abilitare i servizi cloud, il cloud computing può evidenziare rischi differenti rispetto all IT tradizionale)*. (*)CSA Cloud Security Guidance 27

28 Pronti per il Cloud? Azioni Fattori Abilitanti (per l ICT): Ambiti di Miglioramento (per la Security): * * }! Relazione con i Processi di Business * }! Evoluzione del Sistema di Gestione della Sicurezza

29 Pronti per il Cloud? Azioni Ambiti di Miglioramento (per la Security):! Relazione con i Processi di Business! Evoluzione del Sistema di Gestione della Sicurezza In questo scenario: -Quali benefici di sicurezza posso ottenere da un evoluzione verso un vero Cloud? -Cosa devo migliorare? -Come faccio a non compromettere il mio sistema di gestione della sicurezza delle informazioni?

30 L insostenibile leggerezza del Cloud In concreto, l azienda che prova a salire verso il Cloud non deve solo mettere in campo nuove soluzioni......piuttosto deve garantire che tali soluzioni: consentano di mantenere invariato (o migliorare) il livello di sicurezza ormai raggiunto; garantiscano un adeguato ROSI siano sufficientemente flessibili per potersi adattare ai diversi scenari che caratterizzano il contesto: il nuovo legacy, il vecchio consolidato ed il nuovo Cloud! 30

31 Evoluzione SGSI: principali ambiti di miglioramento Pronti per il Cloud? Azioni! Sicurezza dei dati: " Policy di Classificazione e relativi Requisiti di Sicurezza legati al valore dell informazione adozione o estensione alla luce dei nuovi rischi " Soluzioni di Data Labelling e Data Leakage Il dato si muove in modo più fluido, off-premise " Electronic è sempre più importante stabilire l autenticità delle informazioni ed il fatto che non siano state alterate ambiti di miglioramento indipendementi " Data Signature Costituiscono degli Encryption Data-at-rest, data-in-use (es: ambiti BYOD) 31 dal contes to e propedeutici per il Clou d

32 Evoluzione SGSI: principali ambiti di miglioramento Pronti per il Cloud? Azioni! Accesso: Utilizzo di standard aperti per la federazione dei domini di autenticazione ed autorizzazione " Separazione dei ruoli di gestione delle utenze (anche amministrative) da quelli di gestione dei servizi e dell infrastruttura " Utilizzo di strumenti di Strong Authentication " reali, non virtuali! utilizzabili in multi-canalità il più possibile indipendenti dai device sui quali i dati saranno trattati " Cifratura dei canali di comunicazione E2E Front-end / Back-end (esisterà ancora il back-end?) 32 Costituiscono degli ambiti di miglioramento indipendementi dal contes to e propedeutici per il Clou d

33 Evoluzione SGSI: principali ambiti di miglioramento Pronti per il Cloud? Azioni! Conformità: " log di livello applicativo definizione degli eventi più significativi definizione dei criteri di monitoraggio standardizzazione di codici, formati e modalità di raccolta " Definizione di set di requisiti standard di sicurezza applicabili ai vari layer (infrastruttura, basi di dati, applicazioni) Costituiscono degli ambiti di miglioramento indipendementi dal contes to e propedeutici per il Clou d suddivisi per domini di sicurezza definizione delle modalità, anche automatizzate, di verifica dell attuazione dei requisiti " " Definizione di strumenti di asset, configuration & change management integrati con gli strumenti di virtualizzazione Adozione di strumenti di vulnerability assessment e patch management al più alto grado di automatizzazione 33

34 Grazie! 34