Sicurezza cloud: rischi, sfide e strategia di difesa
Cos'è la sicurezza cloud?
Le politiche, i controlli, le tecnologie e le pratiche che proteggono dati, applicazioni e infrastrutture in ambienti cloud (IaaS, PaaS, SaaS). La responsabilità è condivisa tra provider e cliente.
Minacce principali (CSA "Egregious 11")
- Violazioni dei dati – Archiviazione configurata male (bucket S3), credenziali rubate, vulnerabilità app.
- Configurazioni errate – Gruppi di sicurezza aperti, IAM eccessivo, snapshot pubblici.
- API non sicure – Autenticazione rotta, limitazione velocità, injection.
- Dirottamento account – Phishing, credential stuffing, stanchezza MFA.
- Minaccia interna – Amministratori malintenzionati o negligenti.
- DoS/DDoS – Volumetrico, livello applicativo (abuso API).
- Lacune di compliance – Fallimenti GDPR, HIPAA, PCI-DSS, SOC 2.
- Supply chain – Immagini container compromesse, moduli IaC, dipendenze SaaS.
- Visibilità limitata – Punti ciechi in multi-cloud, shadow IT.
- Rischi tenancy condivisa – Canali laterali, escape hypervisor (rari).
- Sprawl identità e accessi – Ruoli sovra-privilegiati, chiavi inutilizzate.
Strategia difesa in profondità
| Livello | Controlli |
|---|---|
| Identità | Zero Trust, MFA (resistente al phishing), privilegio minimo, accesso JIT, CIEM |
| Dati | Crittografia a riposo (KMS) e in transito (TLS 1.3), DLP, tokenizzazione, rotazione chiavi |
| Rete | Segmentazione VPC, SG/NACL, PrivateLink, WAF, protezione DDoS (Shield, Cloud Armor) |
| Workload | CSPM, CNAPP, protezione runtime (Falco, Tetragon), firma immagini, ammissione controllo |
| Operazioni | Logging centralizzato (SIEM), SOAR, threat intelligence, purple teaming, chaos engineering |
| Governance | Policy-as-code (OPA, Sentinel), rilevamento drift, automazione compliance, FinOps |
Modello responsabilità condivisa
- Provider: Fisico, rete, hypervisor, piano di controllo servizio gestito.
- Cliente: Dati, identità, configurazioni, OS (IaaS), codice app, crittografia lato client.
Automatizza tutto; assumi violazione; verifica continuamente.