Nell'era dei big data in cui viviamo, le aziende generano, raccolgono e archiviano grandi quantità di dati al secondo, tra cui dati aziendali o personali dei clienti altamente riservati e dati meno sensibili, come l'analisi comportamentale e di marketing. 

Oltre che per la necessità di accedere, gestire e analizzare volumi di dati sempre maggiori, le organizzazioni stanno adottando i servizi cloud per ottenere una maggiore agilità e un time to market più rapido, nonché per supportare sempre più la forza lavoro remota o ibrida. 

Il tradizionale perimetro della rete sta rapidamente scomparendo e i team di sicurezza si stanno accorgendo della necessità di ripensare gli approcci attuali e passati in termini di protezione dei dati nel cloud. Ora che i dati e le applicazioni non risiedono più all'interno del data center e che sempre più persone lavorano fuori da un ufficio fisico, le aziende devono risolvere i problemi relativi alla protezione dei dati e alla gestione degli accessi nel passaggio tra più ambienti. 

• Riservatezza dei dati: i dati devono essere accessibili o modificabili solo da persone o processi autorizzati. In altre parole, assicurati che i dati della tua organizzazione rimangano privati.
• Integrità dei dati: i dati devono essere attendibili, ossia accurati, autentici e affidabili. La chiave è implementare criteri o misure che impediscano la manomissione o l'eliminazione dei dati. 
• Disponibilità dei dati: pur volendo bloccare gli accessi non autorizzati, i dati devono rimanere disponibili e accessibili per le persone e i processi autorizzati quando risulta necessario. Dovrai garantire un uptime continuo e l'operatività ottimale di sistemi, reti e dispositivi.

Definiti spesso come triade CIA, questi tre pilastri generali rappresentano i concetti fondamentali alla base di un'infrastruttura di sicurezza solida ed efficace, nonché del programma di sicurezza di qualsiasi organizzazione. Eventuali attacchi, vulnerabilità o altri incidenti di sicurezza violeranno uno (o più) di questi principi. Ecco perché i professionisti della sicurezza utilizzano questo framework per valutare il rischio potenziale per gli asset di dati di un'organizzazione.

Più aumenta il numero di dati e applicazioni che vengono spostati dai data center centrali allontanandosi dai tradizionali meccanismi di sicurezza e infrastrutture, più aumenta il rischio di esposizione. Sebbene molti degli elementi fondamentali della sicurezza dei dati on-premise vengano mantenuti, devono essere adattati al cloud. 

Tra le sfide comuni relative alla protezione dei dati negli ambienti cloud o ibridi ci sono: 

• Mancanza di visibilità. Le aziende non conoscono la posizione di tutti i dati e le applicazioni in loro possesso, né tutti gli asset presenti nell'inventario. 
• Minore controllo. Poiché dati e applicazioni sono ospitati su un'infrastruttura di terze parti, le aziende hanno meno controllo sulle modalità di accesso e condivisione dei dati. 
• Confusione riguardo la responsabilità condivisa. Le aziende e i cloud provider condividono le responsabilità per la sicurezza del cloud: se compiti e attività non vengono compresi appieno o non sono ben definiti, si possono riscontrare lacune in termini di copertura. 
• Copertura incoerente. Molte attività reputano il cloud ibrido e le soluzioni multi-cloud più adatte a soddisfare le proprie esigenze aziendali, ma fornitori diversi offrono livelli di copertura e funzionalità differenti che possono portare a una protezione incoerente. 
• Minacce alla cybersicurezza in aumento. I database e i sistemi di archiviazione dei dati nel cloud sono obiettivi ideali per i pirati informatici in cerca di un'occasione ghiotta, specialmente ora che le aziende sono ancora inesperte nella manipolazione e nella gestione dei dati nel cloud. 
• Requisiti di conformità rigorosi. Le organizzazioni sono sotto pressione per rispettare la conformità con le rigorose normative in materia di privacy e protezione dei dati, che richiedono l'applicazione di criteri di sicurezza in più ambienti e una solida governance dei dati.
• Archiviazione dei dati distribuita. L'archiviazione dei dati su server internazionali può fornire latenza più bassa e maggiore flessibilità. Tuttavia, può anche causare problemi di sovranità dei dati che non sarebbero emersi operando in un data center proprietario.

Cloud provider e clienti condividono la responsabilità per la sicurezza nel cloud. L'esatta suddivisione delle responsabilità dipende dal deployment e dalla scelta di IaaS, PaaS o SaaS come modello di servizio per il cloud computing.

In generale, un cloud provider si assume la responsabilità della sicurezza del cloud stesso, mentre spetta al cliente la responsabilità di proteggere tutti gli elementi all'interno del cloud, come dati, identità utente e relativi privilegi di accesso (gestione di identità e accessi).

In Google Cloud seguiamo un modello di destino condiviso. Questo significa che siamo partner attivi nel garantire ai nostri clienti un deployment sicuro sulla nostra piattaforma. Possiamo aiutarti a implementare le best practice offrendo configurazioni sicure per impostazione predefinita, progetti, gerarchie di criteri e funzionalità di sicurezza avanzate per aiutarti a creare coerenza in tutti i tuoi strumenti e tutte le tue piattaforme.  

Nel contesto cloud, per rispettare la conformità è necessario che ogni servizio e sistema protegga la privacy dei dati in base agli standard e ai regolamenti legali per la protezione e la sovranità dei dati, nonché le leggi sulla localizzazione dei dati. Alcuni settori, come quello sanitario o dei servizi finanziari, sono obbligati a seguire un ulteriore gruppo di leggi che prevede il rispetto di linee guida obbligatorie e protocolli di sicurezza.

Per questo è importante considerare i vari fornitori di servizi cloud e valutare con attenzione la loro offerta in termini di sicurezza cloud. I fornitori di servizi cloud attendibili non si limitano a impegnarsi per garantire la conformità di piattaforme e servizi offerti, ma sono disponibili a collaborare direttamente con te per comprendere e soddisfare le tue specifiche esigenze normative e di gestione dei rischi.