Il significato della sicurezza cloud su AWS

Proteggere il cloud non equivale a sorvegliare un data center. Su AWS, la sicurezza diventa una questione di configurazione e identità: software definito da Lei, non hardware installato.

La sicurezza tradizionale si basava sulla fiducia nel perimetro. Il cloud ribalta questo approccio: il vero confine è chi può fare cosa. Di solito si accede tramite una credenziale sottratta, non sfondando una barriera.

Su AWS, quasi tutto è una chiamata API. Un singolo permesso errato può esporre rapidamente una grande quantità di risorse, ma ogni azione viene registrata, permettendo di verificarla e correggerla automaticamente.

Può avviare migliaia di risorse in pochi minuti, e lo stesso può fare un errore. La configurazione errata è il principale rischio del cloud: per questo sono importanti i meccanismi di protezione automatizzati.

Le risorse cloud sono effimere: compaiono e scompaiono su richiesta. Perciò la sicurezza deve essere integrata nel processo di creazione, non aggiunta in un secondo momento.

Non esiste un singolo controllo risolutivo. Si sovrappongono più protezioni — rete, identità, crittografia, registrazione e rilevamento — così, se una fallisce, le altre limitano i danni.

AWS registra l'attività al posto Suo: CloudTrail registra le chiamate API, Config tiene traccia dello stato e CloudWatch raccoglie le metriche. La difficoltà consiste nell'interpretare tutti questi dati.

Poiché ogni controllo è software, la sicurezza può reagire autonomamente. Un evento può attivare una funzione che isola un server compromesso in pochi secondi, più velocemente di qualsiasi persona.

Nel cloud, le prove di conformità provengono dalla configurazione e dai log, verificati continuamente. È più rapido dimostrarla, ma una singola impostazione modificata può compromettere silenziosamente un controllo.

Il cambiamento più importante riguarda la mentalità: smetta di pensare alle barriere e inizi a pensare a privilegio minimo, crittografia ovunque e monitoraggio continuo. Parta dal presupposto che qualsiasi elemento possa essere sottoposto a scansione.

La sicurezza del cloud è una disciplina a sé: identità invece di perimetro, configurazione invece di hardware. Il prossimo argomento è l'idea più importante su AWS: il Modello di responsabilità condivisa.

La sicurezza del cloud sposta l'attenzione dal perimetro all'identità e dall'hardware alla configurazione. Le configurazioni errate e le credenziali sottratte sono i rischi principali, quindi è necessario sovrapporre più livelli di difesa.