CONTROLLO DEL CLOUD

L’adozione di una protezione del Cloud muove i primi passi. Il Cloud è un modello di computing che fornisce servizi via internet. La sicurezza delle informazioni è essenziale per ogni iniziativa Cloud e non dovrebbe essere considerata né un male necessario, né una semplice questione di firewall. Quando la sicurezza delle informazioni è messa a repentaglio, l’impatto sui processi e sulle operazioni aziendali è notevole. Il rischio non è legato solamente al modello Cloud, ma anche al modo in cui l’informazione viene usata nell’intero processo di difesa.

Il valore aggiunto del Cloud è la riduzione dei costi degli asset IT, ma c’è il rischio che questi costi si ripropongano nell’integrazione o nei livelli di sicurezza, dal momento che aumentano i costi di conformità e l’integrazione si fa più complessa. Inoltre, i costi possono essere avvertiti con il tempo, poiché i progetti subiscono ritardi dovuti al passaggio al modello Cloud, all’integrazione e alla sicurezza.

L’integrazione è la chiave dell’IT, in quanto collega tutte le aree della difesa, le sue forze, i suoi fornitori e i suoi partner. Con maggiori richieste di dati, funzioni e informazioni nei settori tattici, operazionali e strategici, la comprensione della “business information” si traduce nella capacità di ridurre i costi e fornire servizi efficienti. Le sfide principali includono:

• Sicurezza decentralizzata: applicazioni e informazioni si trovano di fuori del firewall tradizionale. Le informazioni ricercate attraverso mezzi che non siano l’application user interface devono essere sicure;
• Location non fissa: le informazioni sono contenute in un ambiente virtualizzato. Il provider può scegliere di effettuare un upgrade e rimpiazzare a piacimento le macchine fisiche e virtuali. La configurazione finale deve essere flessibile e dinamica;
• Processi aziendali: ora sono codificati in applicazioni soggette o meno al controllo dell’utente. Il provider del Software as a Service (SaaS) predisporrà solo un numero limitato di entry ed exit point standard per l’informazione. I costi dell’integrazione e del supporto al processo aumenteranno nel caso fossero richiesti touch-point specifici;
• Ambito giurisdizionale: conservazione dei dati. Le leggi in materia di esportazione dei dati si sono moltiplicate in seguito alla diffusione dell’outsourcing dei processi aziendali e del Cloud, in particolare con il SaaS. Da un lato c’è l’ubicazione della piattaforma SaaS, dall’altro il tracking e la sicurezza dei dati trasmessi, come parte di un processo aziendale integrato. Comprendere il “rischio sicurezza” nell’integrazione Cloud è di fondamentale importanza: trattare “interfacce” come servizi aziendali, con una politica di gestione attiva, può aiutare a fornire la sicurezza necessaria e la visibilità transazionale;
• Conformità legislativa: la legislazione in materia di PCI, FSA, DPA e NAO sull’archiviazione e sulla fornitura di informazioni classificate è in crescita. Il sapere “da chi” e “dove” vengono controllati i dati dell’utente deve essere considerato come un fattore di conformità.
• Velocità e volume: la difesa ha esigenze complesse per le proprie informazioni. Queste esigenze sono supportate attraverso diversi profili di integrazione. Stabilire come alti volumi e/o consumi a bassa latenza di dati esternalizzati possano essere raggiunti attraverso modelli di integrazione è uno dei modi per scongiurare situazioni di stallo;
• Piani di uscita: il Cloud è il trend del momento, ma può capitare, come nel caso di altre esternalizzazioni importanti, che il “cliente” abbia bisogno di riportare l’IT in sede. Proteggere e comprendere i limiti transazionali delle applicazioni e dei servizi aziendali può aiutare ad evitare programmi di “reintegrazione” lunghi e dispendiosi.

Un’accurata pianificazione, architettura e progettazione, unite a una gestione attenta nel tempo, sono prerequisiti per una buona integrazione e sicurezza (a prescindere dal Cloud). La questione del Cloud computing nell’ambito della difesa è del tipo “quando, non se”. Capire come fornire e utilizzare dati e informazioni in ambienti Cloud e non-Cloud inizia con architetture solide e termina con un’integrazione agile e sicura.