Cloud: più sicuri in sei passi

Secondo l’Aipsi (Associazione Italiana Professionisti Sicurezza Informatica, sezione della Information Systems Security Association), un approccio corretto per il miglioramento della sicurezza in ambiente cloud si può sintetizzare nei sei passi seguenti.
1. Studiare quanto è stato fatto, in sistemi e processi, per la sicurezza dei servizi condivisi per uso interno (come i servizi di provisioning, autenticazione, database…); questi servizi infatti sono assimilabili a ‘cloud privati’ e sono un punto di partenza per la sicurezza di servizi cloud esterni.
2. Valutare il livello di rischio inerente ai processi abilitati dall’It, in modo da poter fare un bilancio tra rischi (compresi quelli connessi alla compliance) e vantaggi dell’opzione cloud e scegliere quei processi che a fronte di un costo relativamente alto sono meno esigenti in termini di Sla.
3. Studiare i differenti modelli di cloud possibili (pubblici, privati o ibridi), così come le categorie di servizi offerti (relativi alle applicazioni all’infrastruttura o a entrambi). Lo scopo è di poter stabilire quale politica adottare nei confronti dei diversi approcci in funzione dei profili di rischio di cui al punto precedente.
4. Applicare al cloud i princìpi di sicurezza sviluppati per la Soa, con sistemi di controllo rigidi e altamente distribuiti combinati a una gestione e amministrazione centralizzata.
5. Vedersi come cloud services provider. Nella maggioranza dei casi, i responsabili It pensano al cloud computing identificandosi nella parte dell’utente, ma ogni azienda fa parte di una catena del valore e può quindi fornire servizi a clienti e partner. Diventare service provider all’interno del proprio ecosistema serve anche a comprenderne a fondo logiche e processi.
6. Iniziare subito a conoscere e usare gli standard di sicurezza del Web. Esiste già da tempo un corpo di standard che sono (o dovrebbero essere) adottati per mettere in sicurezza i servizi cloud. Parlamo di Saml (Security Assertion Markup Language), Spml (Service Provisioning Markup Language), Xacml (Extensible Access Control Markup Language) e WS-Security. Conoscerli è un passo verso il cloud sicuro.