Il modello di responsabilità condivisa

Quando un file è “nel cloud”, si trova su un server di proprietà di un’azienda che non hai mai incontrato e che non visiterai mai. Questo accordo divide la responsabilità della sicurezza tra due parti, e la maggior parte delle persone non impara mai dove cade quella divisione finché qualcosa non va storto. Ogni grande provider cloud documenta esplicitamente questa divisione, perché sbagliarla in entrambe le direzioni — presumere che il provider copra tutto, oppure cercare di proteggere cose che il provider già gestisce — causa incidenti reali.

Due lati di una stessa linea

Amazon Web Services chiama la propria versione di questa divisione modello di responsabilità condivisa, suddividendola in “sicurezza del cloud” e “sicurezza nel cloud”. AWS è responsabile della prima: “l’hardware, il software, la rete e le strutture che fanno funzionare i servizi AWS Cloud” — i data center fisici, l’applicazione delle patch all’infrastruttura, le parti che non potresti mai ispezionare o configurare da solo anche se lo volessi. Il cliente è responsabile della seconda, e AWS è specifica su cosa include per i servizi di archiviazione cloud: “gestire i propri dati (incluse le opzioni di cifratura), classificare i propri beni, e usare strumenti IAM” — ovvero chi è autorizzato ad accedervi.

La divisione si sposta a seconda di ciò che usi

La documentazione di Microsoft fa notare un punto importante per chi sceglie tra diversi tipi di servizi cloud: la linea di demarcazione non è fissa, si sposta a seconda del modello di servizio. La sua tabella delle responsabilità elenca i dati del cliente, le identità degli account e la gestione degli accessi come compito sempre del cliente, in ogni modello, in sede o nel cloud. Ma man mano che ci si sposta dall’infrastruttura-come-servizio (affittare una macchina virtuale che configuri tu stesso) verso il software-come-servizio (usare un’applicazione già pronta come un servizio di posta elettronica o di condivisione file), Microsoft si assume più compiti: i sistemi operativi, il codice delle applicazioni e la configurazione di rete diventano sempre più compito di Microsoft anziché tuo. Ciò che non si sposta mai, nelle parole stesse di Microsoft, è che “conservi sempre” la responsabilità dei tuoi dati, dei tuoi account, dei tuoi dispositivi client e dei tuoi controlli di accesso.

Perché il lato del cliente conta più di quanto sembri

Per un’ONG che usa un servizio già pronto di condivisione file o email — software-come-servizio, il modello in cui il provider gestisce di più — è allettante presumere che la sicurezza del provider sia ormai tutta la storia. Non lo è. Il lato del provider della linea (i suoi server, la sua rete, l’applicazione delle patch) è di solito eccellente per i servizi principali; è proprio per questo che gli aggressori raramente si preoccupano di attaccarlo direttamente. Prendono invece di mira il lato del cliente: una password debole o riutilizzata, un link condiviso più ampiamente di quanto previsto, un account senza un secondo fattore. Ogni categoria dell’elenco “sempre compito del cliente” sopra è anche, non a caso, l’argomento della prossima lezione di questo corso.

Una domanda utile su qualsiasi servizio cloud usi

Prima di affidare materiale sensibile a un servizio cloud, vale la pena trovare la sua documentazione sulla responsabilità condivisa (tutti i grandi provider ne pubblicano una) e porsi due domande: cosa protegge effettivamente il provider per impostazione predefinita, e cosa è esplicitamente lasciato a me? La risposta di solito chiarisce esattamente da quali delle tue abitudini — trattate nel resto di questo corso — dipende davvero la sicurezza di quei dati.