Il cloud e la sicurezza dei dati – prima parte [mirror]

Il tema del cloud lo trattiamo in tanti e da molteplici punti di vista. Anche qui (come sul mio blog) vorrei parlarne ma facendo il focus sul tema della sicurezza dei dati. Ovvio, non basterà un post per trattare l’argomento, andremo per gradi partendo dal concetto di sicurezza e protezione dei dati e delle informazioni.

Spesso chi parla di sicurezza dei dati si riferisce al solo tema dell’accessibilità, ovvero che i dati non siano messi a disposizione di chi non è titolato alla consultazione. Ma sicurezza è qualcosa di più: i dati devono anche essere protetti e in modi/gradi diversi a seconda della sensibilità, inoltre devono anche essere disponibili in breve tempo in caso di danneggiamento o perdita, devono essere accessibili da più luoghi in modo sicuro e tracciabile. E’ evidente che il concetto di sicurezza tocca più aspetti della gestione del dato.

In questo primo post parliamo della questione più ovvia: l’accessibilità. Come rendere un dato accessibile in modo sicuro? Stiamo parlando di un’accessibilità data da un servizio cloud quindi il dato è, per definizione, non locato presso la sede dell’utente che vi vuole accedere. Ovviamente vi sono molteplici modi per mettere a disposizione un dato in modo sicuro attraverso internet (o comunque remotamente) e di seguito ne analizziamo alcuni cercando di andare in ordine di sicurezza (ovviamente secondo la mia opinione tecnica personale).

Web access: la consultazione tramite applicazione web è senza dubbio la più comoda. Esistono molti sistemi e servizi con ottimi metodi di autenticazione per lo più basata matching di username e password, si pensi ai blasonati “Alfresco” e “Sharepoint” (quest’ultimo fa un po’ di più che la mera gestione documentale). Ma la sicurezza spesso si riduce a questo, alle credenziali di accesso, probabilmente sufficienti nella maggioranza dei casi, ma se qualcuno è intenzionato a rubare un dato non si farà intimorire da una richiesta di credenziali. E’ il livello minimo della sicurezza e come tale va considerato, e conoscendo la pigrizia mentale media degli utenti non oso immaginare che razza di password sceglieranno…

VPN: le Virtual Private Networks sono un’ottimo compromesso. Canali privati e criptati, ottimi per far transitare sessioni sensibili e aggiungono uno strato di sicurezza in più per accedere ai dati esposti, inoltre il controllo di questa tecnologia è affidato all’amministratore di sistema o comunque ad un tecnici, una persona che dovrebbe avere a cuore il tema della sicurezza e fare scelte oculate. La tecnologia VPN porta con se delle scomodità intrinseche, soprattutto in contesti multi-sede dove i dati sono messi a disposizione su differenti tunnel (uno per ogni direttrice di comunicazione). Approcciare il tema dell’interconnessione di più sedi aziendali tra loro e con il cloud “comune” può rivelarsi assai oneroso, soprattutto se siamo in un contesto di “private cloud” dove una delle sedi ha anche l’onere di erogare i servizi cloud aziendali. In definitiva possiamo dire che le VPN “classiche” sono sicure ma onerose in termini di gestione/complessità e poco flessibili.

MPLS VPN: un metodo di interconnessione multi sede forse poco noto ma in realtà molto utilizzato in contesti di medie e grandi dimensioni. Il protocollo MPLS permette di costruire delle reti private geograficamente distribuite le cui interconnessioni sono attive utilizzando dei circuiti logici dedicati e sicuri. Di fatto è come “non passare per internet” ma si utilizza l’infrastruttura del provider che eroga la connettività per raggiungere le altre sedi dell’azienda, tra cui la sede ove sono locati i servizi cloud.
In questo caso si ha qualche certezza in più. E’ una rete privata disponibile solo alle sedi a cui viene portata una connettività MPLS, non c’è un transito via internet cosa che rende quasi impossibile l’intercettazione delle sessioni, è una tecnologia estremamente comoda in quanto permette all’azienda di demandare la “complessità” tecnica di realizzare una rete privata geografica. In linea di principio i dati non sono esposti alla rete internet nonostante il concetto di cloud permanga.

Punto-punto: alla fine della via ci sono le reti punto punto dedicate. Sicuramente le meno usate in quanto sono le più costose (quanti possono usufruire di un link radio dedicato o di una dorsale fibra metropolitana di proprietà dell’azienda?). La sicurezza è data, di fatto, dalla non accessibilità del dato: solo le sedi servite dalla rete punto-punto che trasporta i servizi cloud hanno accesso a quei dati e l’azienda ha anche il pieno controllo di quelle rete, a differenza di MPLS dove chi controlla è il provider.

Il tema delle modalità di accesso ai servizi cloud, siano essi dei repository di dati o della applicazioni, è alla base del concetto di riservatezza del dato. Chi eroga servizi cloud deve tenere in considerazione il tema e valutare bene la propria infrastruttura ed i servizi di connettività. Nello stesso modo chi usufruisce di servizi cloud deve farsi doverosi scrupoli sul trattamento dei dati che ha deciso di portare all’esterno dell’azienda e deve trovare il giusto compromesso tra accessibilità e sicurezza.

Sono riuscito a scrivere cloud solo dodici volte, compresa questa
Nel prossimo appuntamento parleremo di storage.

Original post: http://hanc.altervista.org/2012/12/il-cloud-e-la-sicurezza-dei-dati-prima-parte/