La maggior parte degli incidenti di sicurezza nel cloud non comporta la violazione dell'infrastruttura del provider cloud. Riguarda invece la configurazione del cliente: un bucket di storage lasciato pubblico, una chiave di accesso inserita in un repository, un account amministratore senza autenticazione a più fattori o un database raggiungibile da tutta Internet. I provider cloud adottano un modello di responsabilità condivisa, in cui proteggono la piattaforma sottostante mentre Lei protegge ciò che vi configura. Questa guida elenca i rischi più comuni di configurazione errata del cloud e i controlli pratici per ciascuno.
Che cos'è
Una configurazione errata del cloud è qualsiasi impostazione dei Suoi account cloud che esponga dati o sistemi più del previsto, o che Le impedisca di rilevare problemi e di riprendersi da essi. Tende ad accumularsi man mano che i team crescono, i progetti vengono creati rapidamente e le modifiche temporanee diventano permanenti. Le categorie principali sono le stesse su AWS, Microsoft Azure e Google Cloud. Identità e accessi: ruoli troppo ampi, chiavi di accesso a lunga durata, account condivisi e MFA assente. Storage: bucket, blob o snapshot leggibili da chiunque o condivisi troppo ampiamente. Rete: security group o regole firewall aperti a tutti gli indirizzi, porte di gestione esposte e reti piatte senza segmentazione. Segreti: credenziali nel codice, nei file d'ambiente o nelle immagini dei container. Logging: log di audit disattivati, non conservati o mai esaminati. Crittografia: dati sensibili archiviati senza crittografia o con chiavi gestite in modo inadeguato. Resilienza: backup assenti, non testati o archiviati nello stesso account che proteggono. Governance: account sconosciuti, risorse prive di tag e progetti senza responsabile.
Per Chi È
Questa checklist è utile per:
- Startup e PMI il cui ambiente cloud è cresciuto rapidamente senza una progettazione formale
- Team che si preparano a una revisione di sicurezza da parte di un cliente o a una due diligence
- Organizzazioni che pianificano di eseguire carichi di lavoro AI o di dati nel cloud
- Manager che hanno ereditato account cloud da ex dipendenti o fornitori
Cosa Aiuta A Chiarire
Seguire la checklist aiuta a chiarire:
- Chi dispone di accesso amministrativo, e se tale accesso è protetto e ancora necessario
- Quali dati sono raggiungibili pubblicamente, intenzionalmente o meno
- Se sarebbe in grado di accorgersi di attività sospette e di indagarle
- Se potrebbe ripristinare i sistemi critici in caso di compromissione di un account
Cosa è incluso
- Imporre la MFA a tutti gli utenti umani, in particolare agli amministratori e all'account root o proprietario
- Sostituire le chiavi di accesso a lunga durata con ruoli o credenziali a breve durata, ove possibile
- Esaminare i ruoli secondo il principio del privilegio minimo e rimuovere utenti e permessi inutilizzati
- Bloccare per impostazione predefinita l'accesso pubblico allo storage ed esaminare eventuali eccezioni
- Limitare porte di gestione e database a reti note o ad accessi privati
- Spostare i segreti in un servizio gestito di gestione dei segreti e scansionare i repository alla ricerca di chiavi esposte
- Attivare il logging di audit in ogni account e regione in uso e conservare i log in modo sicuro
- Impostare avvisi per eventi ad alto rischio come nuovi amministratori, logging disattivato o storage pubblico
- Crittografare i dati sensibili a riposo e controllare chi può gestire le chiavi
- Eseguire il backup dei dati critici in un account o in una posizione separati e testarne il ripristino
- Mantenere un inventario di account, progetti e responsabili delle risorse
- Utilizzare l'infrastructure as code ed esaminare le modifiche prima che vengano applicate
Cosa non è incluso
- L'affermazione che un ambiente revisionato non possa essere compromesso
- Un audit formale del cloud, una certificazione o un'approvazione di conformità
- Penetration test, salvo definizione separata
- Monitoraggio continuo o gestione operativa, salvo accordo separato
Quando sceglierlo
Utilizzi questa checklist quando non esamina i Suoi account cloud da tempo, prima di una revisione di sicurezza da parte di un cliente o di un investitore, dopo cambiamenti di personale o di fornitori e prima di introdurre carichi di lavoro AI o grandi volumi di dati. Se non riesce a indicare rapidamente chi ha accesso amministrativo a ciascun account, inizi da lì.
Il nostro approccio
Dia la priorità all'identità, perché la maggior parte degli altri controlli dipende da essa. Elimini poi l'esposizione pubblica, protegga i segreti e si assicuri che logging e backup consentano il rilevamento e il ripristino. Tratti le correzioni come lavoro di ingegneria, con responsabili e change control, non come una pulizia una tantum. Il nostro servizio Cloud Platform & Production Engineering copre decisioni architetturali, pipeline di rilascio, osservabilità, backup e runbook di ripristino per gli ambienti concordati; le modifiche in produzione vengono effettuate solo sulla base di un piano approvato e previa esplicita autorizzazione scritta. Se ha bisogno innanzitutto di una visione documentata della situazione, una Security Baseline Review può fornire osservazioni classificate per gravità, e una revisione AI & Cloud Readiness fornisce una scorecard di readiness e un registro delle decisioni incentrati sulle basi per i carichi di lavoro AI. I penetration test delle applicazioni ospitate nel cloud possono essere definiti separatamente. Riesamini regolarmente la checklist; la configurazione tende a discostarsi nel tempo man mano che team e progetti cambiano.
Domande frequenti
Articoli correlati
Inizia
Desidera una visione più chiara della Sua configurazione cloud?
Ci indichi quali provider e account utilizza, cosa vi viene eseguito ed eventuali revisioni o migrazioni in programma. Le proporremo un ambito scritto.
Richieda un ambito scritto