Irrobustire i tuoi account cloud

Le tre lezioni precedenti di questo corso hanno trattato chi è responsabile di cosa, perché l’identità è il vero perimetro, e cosa succede ai tuoi dati una volta archiviati. Questa lezione trasforma tutto ciò in una breve revisione periodica — il tipo di manutenzione che una piccola organizzazione può realisticamente mantenere, invece di una configurazione una tantum che silenziosamente invecchia.

Rivedi le sessioni e i dispositivi attivi

Ogni grande provider di account mantiene un elenco dei dispositivi e delle sessioni attualmente connesse, e un registro dell’attività recente. Rivederlo periodicamente risponde a una domanda semplice: c’è qualcun altro in questo account oltre alle persone che dovrebbero esserci? Un dispositivo sconosciuto, un accesso da una posizione inaspettata, o una sessione mai disconnessa su un dispositivo che non possiedi più meritano tutti un’azione immediata — terminare la sessione e cambiare la password. Questo discende direttamente dalla lezione sull’identità precedente in questo corso: una password rubata resta utile a un aggressore solo finché la sessione risultante passa inosservata.

Rivedi l’accesso delle app di terze parti

La lezione sull’identità ha trattato anche OAuth: ogni connessione “continua con” o integrazione con il calendario è una concessione permanente di accesso che persiste finché non viene revocata. La maggior parte dei provider elenca ogni app collegata nelle impostazioni di sicurezza o privacy di un account, mostrando cosa è stato concesso a ciascuna — leggere l’email, gestire il calendario, accedere ai file — spesso per un servizio provato una sola volta anni fa e poi dimenticato. Una potatura occasionale e ripetuta di questo elenco, rimuovendo tutto ciò che non è usato o non riconosciuto, riduce il numero di vie d’accesso a un account senza toccare affatto la password.

Conferma che i backup esistano davvero, e dove

Un guasto dell’account cloud — un blocco, una cancellazione per errore, un’interruzione del servizio — è di per sé un rischio che la lezione sulla responsabilità condivisa ha collocato dal lato del cliente della linea. La guida alla sicurezza cloud pubblicata su GitHub con cui questa lezione fa un controllo incrociato elenca “backup, recupero testato” tra le pratiche di resilienza fondamentali che raccomanda, insieme alla rotazione periodica delle credenziali e alle revisioni degli accessi; questo si allinea con l’equivalente guida pubblicata dai grandi provider per i propri clienti. Per un individuo o una piccola organizzazione, questo si traduce in due abitudini concrete: sapere dove si trova davvero il tuo backup (un secondo servizio cloud, un disco esterno cifrato, o entrambi), e testare effettivamente il ripristino da esso di tanto in tanto, poiché un backup che nessuno ha mai aperto è solo una speranza, non un piano.

Attiva la registrazione e gli avvisi dove esistono

La maggior parte degli account cloud per consumatori e piccole imprese offre qualche forma di notifica di sicurezza — un’email o un avviso push per un nuovo accesso, un cambio di password, o un nuovo dispositivo aggiunto. Queste sono di solito facoltative o nascoste nelle impostazioni piuttosto che attive per impostazione predefinita. Attivarle non costa nulla e riduce direttamente il divario tra la compromissione di un account e il momento in cui qualcuno se ne accorge, il che è spesso il singolo fattore più importante in quanti danni provoca un’intrusione.

Farne un’abitudine, non un compito una tantum

Nessuno di questi quattro controlli richiede più di qualche minuto singolarmente, e nessuno richiede competenze di sicurezza. Ciò che li rende efficaci è la ripetizione: un passaggio trimestrale attraverso sessioni, app collegate, stato dei backup e impostazioni degli avvisi cattura l’accumulo lento di accessi dimenticati che una singola sessione di configurazione non catturerà mai. Questo chiude il cerchio aperto da questo corso con il modello di responsabilità condivisa: il provider protegge l’infrastruttura una volta e la mantiene continuamente; il lato del cliente dello stesso accordo è un’abitudine, non un compito da finire.