Dal 29% al 3% in 2 anni: il calo delle aziende che utilizza un singolo cloud privato o pubblico riportato in uno studio globale IBM – Oxford Economics conferma la predominanza dell‘approccio ibrido nel 2021 e negli anni a seguire. In alcuni casi la scelta nasconde esigenze di economicità, di efficientamento dei servizi e applicazioni e la ricerca di una maggiore capacità competitiva sul mercato ma ci sono anche situazioni in cui la coesistenza di ambienti cloud e legacy rappresenta un prezioso compromesso per non bloccare l’innovazione pur rispettando esigenze di compliance e riservatezza legate a infrastrutture mission critical o a dati sensibili. In ogni caso si tratta di una scelta impattante per qualsiasi azienda, malgrado il passaggio possa essere poi gestito in maniera graduale, perché innesca una serie di processi di adattamento che spaziano dall’ambito organizzativo a quello più tecnologico infrastrutturale. Uno degli ambiti in cui le complessità dell’Hybrid IT sono più evidenti è la sicurezza.
Sì al modello ibrido ma ripensando la sicurezza da zero
Senza voler sminuire la crescente abilità degli hacker, spesso inseguiti dagli esperti IT quanto a adozione di nuove tecnologie, gran parte dell’aumento dei rischi di sicurezza che il modello ibrido comporta è legato ai security gap insiti in questo come in ogni altro sostanziale cambiamento. C’è la tentazione di risparmiare sulle risorse o di ridurre i test nel ciclo di sviluppo ma anche l’alta probabilità di commettere errori nelle configurazioni iniziali oppure nelle modalità di implementare i controlli una volta che il nuovo approccio è entrato a regime. Dal punto di vista più infrastrutturale, i gap possono spuntare anche nelle interfacce fra i sistemi gestiti a silos oppure tra le procedure operative di sicurezza spesso non uniformi.
Gestire questa complessità, mentre si è investiti da ondate di attacchi di cybercrime di portata e sofisticatezza sempre maggiori, richiede l’implementazione di una infrastruttura intrinsecamente sicura e resiliente, in grado di garantire una affidabile fruizione dell’intero patrimonio di dati di un’azienda, compresi quelli sensibili o legati ad applicazioni critiche.
Per l’IT e il team sicurezza è “la sfida”, da affrontare seguendo alcune linee guida che possono evitare loro di cadere in alcuni banali errori che costerebbero caro all’intera organizzazione
Visibilità costante grazie al monitoraggio continuo
Nella nuova architettura cloud i workload dei server possono variare fortemente e coesistono le più disparate infrastrutture, è quindi essenziale prima di tutto inventariarle, perché non sono altro che i pezzi di un puzzle che costituirà la superficie di attacco, ma serve anche un costante controllo delle attività in corso per identificare anomalie e verificare l’accesso autorizzato ai servizi
Modello di sicurezza incentrato sul carico di lavoro
Con i data center on-premises il focus era sulla rete e l’obiettivo era rilevare lo spostamento laterale degli attacchi, prevenendo l’esfiltrazione dei dati. Questo approccio non può essere traslato su un sistema ibrido che comprende una combinazione di infrastrutture gestite dal cliente e da terzi, è necessario rivedere le logiche di monitoraggio perché seguano le attività del sistema del carico di lavoro garantendone l’integrità, anche attraverso controlli basati su criteri.
Automatizzazione operativa
Questo è il modo per raggiungere i massimi livelli di efficienza supportando il personale IT già sovraccarico ma anche per iniziare un fondamentale processo di integrazione della sicurezza nel modo in cui il codice viene consegnato e i workload sono forniti. L’obiettivo è passare da DevOps a SecDevOps sposando un approccio di sicurezza by design che dovrà poi caratterizzare il futuro modus operandi dell’intera azienda
Formazione e coinvolgimento del personale
Per affrontare questi cambiamenti servono persone a proprio agio nell’operare sia in ambienti cloud che legacy conoscendo entrambe le facce della cybersecurity e consapevoli delle trappole nascoste nella loro coesistenza. Esperti di sicurezza e IT pronti per il modello ibrido dovranno essere sempre più coinvolti nei processi interni perché possano contribuire alle strategie di protezione inserendole dal momento zero in ogni progetto.
La trappola della responsabilità condivisa: non abbassare mai la guardia
Più i team di sicurezza e IT sono formati e collaborativi, meno si rischia di cadere in uno degli errori più banali ma allo stesso tempo più diffusi e dalle conseguenze impattanti, quello legato alla responsabilità condivisa. Quando ci si affida al cloud, anche solo in parte, si tende a delegare il problema degli attacchi di cybercrime al provider con sollievo, quando è invece necessario continuare a fare la propria parte e controllare il proprio alleato.
Questo richiede alcuni accorgimenti, semplici ma essenziali come l’acquisire software unicamente da fonti note ed affidabili e il collaborare solo con team di professionisti qualificati e preparati. Importante anche assicurarsi la portabilità del dato controllando che gli SLA definiscano chiaramente modalità e tempistiche con cui il fornitore dei servizi di sicurezza in cloud dovrà gestire la restituzione dei dati e delle applicazioni al cliente. Va poi tenuto conto, nonostante la presenza del cloud provider, della necessità di effettuare un lavoro di monitoraggio continuo delle diverse risorse, sia per prevenire eventuali violazioni, sia per individuare elementi obsoleti ma ancora attivi, fonte di rischio perché non compatibili con i nuovi aggiornamenti.
Gestire gli accessi a due mondi, diversi e interconnessi: le tante sfide dell’identità ibrida
Con la sempre più frequente e costante migrazione cloud delle risorse da parte di molte aziende, l’importanza strategica delle directory si è ampliata ulteriormente rendendo la gestione dell’identità ibrida la sfida delle sfide in termini di sicurezza. A ogni cloud è in genere associato un repository di identità in costante mutamento per l’aggiunta di nuovi utenti, la modifica dei processi e l’installazione di nuove applicazioni. C’è poi la parte on premise da non trascurare perché spesso partono proprio da lì i peggiori attacchi per poi diffondersi anche nella nuvola. Se si sceglie il modello ibrido per ottenere “il meglio dei due mondi” va tenuto conto che ci sono poi due tipologie di accessi da gestire, diversi ma correlati e che necessitano di una strategia di sicurezza unica, adeguata e integrata.
Utilizzando insieme Azure Active Directory (ADD) e Active Directory (AD) si può tecnicamente gestire in modo efficace l’identità ibrida ma questo mette i responsabili della sicurezza di fronte a due problematiche. La prima si traduce nella necessità di un nuovo modello di autenticazione che tenga conto che ADD, al contrario di Acrive Directory, non prevede unità organizzative o foreste, né oggetti e non tiene conto di criteri di gruppo e conflitti nella protezione delle identità ma si basa su un sistema di Single Sign-On (SSO) spesso coniugato al sistema di IAM unificato (Identity and Access Management).
Cambiamenti radicali vanno apportati anche nel modello di autorizzazioni: non è più così semplice come negli ambienti on-premise controllare chi ha l’accesso fisico ai controller di dominio e conoscere i punti di accesso per la gestione. Le identità vengono ora archiviate anche nel cloud diventando estremamente vulnerabili.
Il principio guida dovrebbe diventare quello del minimo privilegio, concedendo a ogni utente i livelli – o permessi – minimi di accesso dei quali ha bisogno per svolgere le proprie mansioni e sarebbe da applicare alle persone ma anche alle applicazioni, ai sistemi e ai dispositivi connessi. Implementarlo con successo, però, aggiunge complessità di cui tener conto perché richiede una non banale gestione e protezione a livello centrale delle credenziali privilegiate e comandi flessibili per bilanciare la sicurezza informatica e i requisiti di conformità con le necessità sia operative che degli utenti finali.
Restando sul tema delle autorizzazioni, meritano un focus quelle fornite alle applicazioni di terze parti, un aspetto fondamentale ma sottovalutato nella maggior parte delle implementazioni di AAD. Due gli scenari che è necessario essere pronti ad affrontare, sia quello di strumenti di terze parti che acquisiscono i dati da Azure AD e li archiviano nei propri database esterni, in cui si è obbligati a sperare che siano sicuri, sia quello di strumenti di terze parti con accesso in scrittura, in grado di apportare modifiche all’interno dello strumento. In questo caso diventa strettamente necessario per l’azienda definire una governance rigida sulle app che possono essere attivate e sui diritti di accesso associati.
Strategie di sicurezza unificate, per un Hybrid IT più sicuro ma al fianco del business
Per un team di sicurezza che sta affrontando la migrazione verso il cloud, il “nodo” della gestione delle identità rappresenta certamente una complessità non solo time consuming ma anche delicata e ad alto rischio di errore. Per questo esistono strumenti nativi o di terze parti a supporto ma anche aziende come Semperis che hanno scelto di indirizzare le proprie competenze e la propria esperienza nell’affiancare le aziende nell’ottimizzazione delle strategie di sicurezza di Active Directory anche negli ambienti a identità ibrida. Questa “vocazione” si traduce in un’offerta studiata ad hoc, il Directory Services Protector, in grado di fornire un quadro completo dell’esposizione ai rischi consultabile da un unico pannello sempre aggiornato sulle minacce sia in Active Directory e in Azure Active Directory. Una centralizzazione efficace che, in un contesto di responsabilità condivisa, facilita la gestione delle tante voci di sicurezza in agenda.
Contributo editoriale sviluppato in collaborazione con Semperis
