La sicurezza ai tempi del Cloud Computing

Il cloud computing è una nuova modalità di fruizione dell'IT, che si pone come in alternativa e non in sostituzione della modalità tradizionale, e prevede l'erogazione e la fornitura della soluzione IT  via Internet con servizi condivisi, e accessibili da Internet. Di fatto rappresenta un "nuovo modo" di concepire l'utilizzo dell'IT: tecnologie informatiche che permettono l'uso di risorse hardware o software distribuite in remoto. Nella "nuvola"  si implementa  un insieme eterogeneo e distribuito di risorse. Dunque un modello  che offre servizi condivisi, accessibili da Internet, gestiti in modo virtuale, il cui costo è strettamente dipendente dall'utilizzo.
In questo contesto ci sono fornitori stanno cercando di capire se e come adottare questo nuovo modello nella proposizione della loro offerta mentre alcuni, i più lungimiranti, hanno già in atto strategia a riguardo. Altri, ancora, stanno aspettando di capire come muoversi. E lo stesso vale per gli utenti: le aziende più innovative hanno deciso di adottare questo paradigma, in associazione alle modalità di fruizione tradizionale dell'IT, altre stanno aspettando di vedere i primi esempi concreti di aziende che hanno avuto benefici concreti e misurabili, le cosidette best pratices.
Erroneamente, uno dei freni legati all'adozione di un modello cloud computing è relativo alla sicurezza. Come si coniuga invece la sicurezza It con il paradigma del cloud computing? Come è possibile garantire gli stessi livelli di sicurezza forniti da un modello di IT tradizionale? Quanto sono sicure le risorse portate all'interno della nuvola? 
Lo abbiamo chiestop a un panel di otto aziende focalizzate sulla sicurezza informatica le quali hanno declinato la propria posizione rispetto all'emergente modello del cloud computing e spiegato le iniziative portate avanti e come il canale distributivo può avvantaggiarsi dall'utilizzo di questo modello. 

[tit:Cloud computing e sicurezza IT: un binomio fattibile]
Il cloud compounting è un paradigma tecnologico e di business all'attenzione di molti fornitori IT; l'interesse intorno al fenomeno è alto. Come è visto dai fornitori della sicurezza IT? Che idea hanno del fenomeno?
"La promessa del Cloud Computing è probabilmente quella di rivoluzionare il mondo dei servizi IT, spiega  Massimo Cipriani, responsabile della prevendita nella Business Unit dedicata alle soluzioni CA di IT Security, trasformando l'elaborazione dati in una utility come l'energia elettrica, l'acqua o il gas. Il modello di business si sposta da un modello prodotti-progetti ad un modello pay-per-use o pay-per-service.
La pervasività di Internet e il suo uso innovativo, hanno permesso l'insorgere di un fenomeno come il Cloud Computing e di utilizzare le infrastrutture esistenti per l'erogazione e la fruizione di servizi che consentono alle aziende significativi risparmi di costi e rilevanti aumenti di efficienza. Il Cloud Computing offre l'interessante opportunità di disaccoppiare le esigenze aziendali in termini di risorse IT, rispetto alle effettive capacità elaborative delle infrastrutture IT disponibili in azienda. Ciò rappresenta la possibilità di realizzare consistenti vantaggi economici nel medio-lungo periodo dal punto di vista di risparmi in investimenti in infrastrutture IT. Sfruttando le infrastrutture del provider è possibile aumentare sensibilmente la velocità di attivazione di un nuovo servizio, ottenere l'alta disponibilità del servizio stesso, flessibilità e scalabilità come capacità di risposta a incrementi di richieste di risorse informative e la resilienza rispetto ad eventi dannosi sia di natura naturale o accidentale, che ad attacchi informatici.
Il paradigma del Cloud Computing è basato su standard ed architetture aperte di condivisione delle informazioni e, come tutte le opportunità, ha dei rischi associati che debbono essere attentamente valutati e gestiti, in modo che le informazioni siano al tempo stesso disponibili e protette. Molti di questi rischi però non sono nuovi, ma sono già noti nelle infrastrutture IT esistenti".
"Per quanto riguarda la sicurezza delle informazioni, prosegue Cipriani, questa deve essere gestita lungo l'intera catena di erogazione. Nell'ambiente del provider dal punto di vista delle policy e dei controlli di accesso ai dati, la generazione dei log degli accessi e dei dati di audit, le modalità di archiviazione e backup e debbono essere garantiti adeguati piani di disaster recovery. Dal lato dell'accesso remoto alle informazioni devono essere garantiti i processi di autenticazione, le cui modalità devono essere commisurate alla criticità delle informazioni prevedendo dove necessario sistemi di strong authentication, autorizzazione ed auditing, sia nel caso di interazione utente-applicazione (per esempio via web browser), sia nel caso di interazione applicazione-applicazione (per esempio via web services).
"Scopo del Cloud Computing, interviene Fabio Buccigrossi, Responsabile del Canale in Sophos Italia, è mettere a disposizione degli utenti risorse tecnologiche sia hardware che software in remoto sfruttando l'utilizzo di Internet. Nasce dunque automaticamente l'esigenza di garantire la sicurezza delle applicazioni offerte come servizio grazie al cloud computing. Il fornitore di tali soluzioni deve dunque gestire le infrastrutture su cui vengono archiviate le informazioni di tutte le aziende che utilizzano tali servizi in modo da garantirne la sicurezza. Il provider diventa il partner esperto di cui le aziende si devono fidare.
Grazie a queste nuove tecnologie anche i vendor di soluzioni per la sicurezza informatica hanno potuto migliorare le prestazioni dei propri prodotti, ad esempio attraverso l'aggiornamento in tempo reale delle soluzioni anti-spam. Se prima la scelta di scartare una e-mail veniva presa a casa del cliente secondo regole aggiornate costantemente, ma pur sempre con un certo ritardo, oggi è possibile discriminare una email buona da una da scartare in tempo reale, analizzandola direttamente sul cloud server. L'azzeramento dei tempi di ritardo per l'aggiornamento del software unite a una riduzione dello spam che viene bloccato prima che arrivi a casa del cliente, non può che ritenersi un beneficio apportato proprio dalle tecnologie su cui si basa il cloud computing". 

[tit:Il leit motiv del 2010]
E' un mercato agli inizi ma con un alto potenziale di crescita; ha i requisiti per diventare una grande trasformazione, che è ancora dietro l'angolo e che avrà impatti dirompenti su Business e IT. E' un paradigma che guarda all'innovazione.
"Il cloud computing ha tutte le carte in regola per diventare il leit motiv del 2010, afferma Bernardo Palandrani Commercial and Channel Manager di Symantec Italia. Se da un lato ci troviamo d'innanzi ad aziende che hanno l'esigenza di riequilibrare il rapporto tra quanto si spende e quanto si riceve, dall'altro stanno affermandosi dei nuovi paradigmi che permettono alle stesse di minimizzare e ottimizzare i propri investimenti IT, senza tralasciare nessun settore, soprattutto quello della sicurezza. Il Cloud Computing, infatti, si caratterizza fortemente nell'uso di risorse hardware o software distribuite in remoto; una tale distribuzione richiede pertanto una maggiore attenzione alla sicurezza dei dati che si appoggiano su tali infrastrutture. Tra l'altro il Cloud permette alle aziende di medie dimensioni, di utilizzare delle soluzioni di sicurezza di livello Enterprise, complete in tutti gli aspetti, che difficilmente sarebbero accessibili per una questione di costi ma soprattutto di risorse specializzate".
Su questo tema precedentemente espresso da Symantec ci si ritrova anche Domenico Fusco, Direttore Vendite Panda Security, il quale sostiene che: "Al momento, nell'ambito del settore Ict, il cloud computing costituisce una delle più significative scommesse per lo sviluppo di nuove ed efficienti tecnologie. Con riferimento specifico alla sicurezza IT, la realizzazione di soluzioni ‘from the cloud' consentono di poter offrire servizi per la protezione sia delle reti aziendali, sia per il personali computer, o il notebook dell'utente domestico, rendendoli molto più attendibili e puntuali. 

[tit:Sicurezza in the cloud]
"Il cloud computing e la virtualizzazione sono certamente le nuove frontiere dell'IT, commenta Elena Ferrari, Distributor and SB Channel Sales Manager Trend Micro e stanno prendendo sempre più piede tra le aziende per i benefici e i risparmi offerti. Ma è altrettanto reale che queste tecnologie, spostando di fatto i server al di fuori del tradizionale perimetro di sicurezza, possono esporre le aziende a numerosi rischi, se non adeguatamente protette. La sicurezza deve quindi andare di pari passo con queste tecnologie, anche perché assistiamo di giorno in giorno ad un aumento delle minacce informatiche, che provengono in gran parte da Internet.
La Rete è ormai diventata uno strumento di lavoro indispensabile, ma è altrettanto indispensabile proteggere i sistemi informativi che devono rimanere sempre attivi ed efficaci. Ciò è possibile grazie a metodi di sicurezza che si servono del Web stesso per bloccare le minacce prima che raggiungano le reti aziendali: attraverso un sistema di  interrogazione dei database sulle minacce archiviati online è possibile proteggere direttamente in-the-cloud, evitando di appesantire i client aziendali con continui aggiornamenti dei pattern file, come accadeva tradizionalmente".
Come spiega Alexander Moiseev, managing Director Kaspersky Lab Italia: "Il principio base del cloud computing è la possibilità di utilizzare le risorse del computer senza avere accesso fisico al computer stesso. La sicurezza In-the-cloud si riferisce invece all'uso dei servizi di sicurezza in outsourcing, mentre il sistema operativo è ancora in esecuzione in locale sul PC della nostra scrivania. L'idea che c'è dietro la sicurezza in-the-cloud, come Kaspersky Lab la definisce, è che un file o un sito web potenzialmente dannoso venga controllato online, invece di essere controllato attraverso firme virali memorizzate sul computer stesso.Il modo più semplice per fare ciò, è quello di calcolare il checksum (vale a dire l'impronta digitale) di un file e poi chiedere a un server designato se un file con quel checksum è già stato identificato come dannoso.
Se la risposta è 'sì', l'utente visualizza un messaggio di avviso e il malware viene messo in quarantena.Dal punto di vista dell'utente non ci sono differenze significative tra questo approccio e quello vecchio, ma c'è un notevole miglioramento delle prestazioni del computer, in quanto la creazione di un checksum di un file richiede pochissime risorse e  un notevole incremento di velocità di scansione rispetto a quella standard".  

[tit:Sulla direttrice del cloud]
"Sicurezza IT e cloud computing sono due aspetti che si possono certamente combinare prestando molta attenzione agli aspetti relativi alla sicurezza informatica e ai comportamenti degli utenti, dice Cristiano Voschion, Regional Channel Director Sud Europa e Israele di McAfee. L'approccio di McAfee per l'utilizzo del cloud è basato sulla completezza di visione e sulla ricchezza di funzionalità all'interno dell'attuale portafoglio SaaS. Grazie a un'esperienza consolidata come fornitore di soluzioni SaaS, l'offerta di McAfee assicura protezione e affidabilità totali, proponendo ai clienti una soluzione mono-vendor e un'opzione di distribuzione dal costo assai competitivo, studiata per adattarsi al difficile contesto economico. Grazie alle soluzioni SaaS, i clienti McAfee possono infatti beneficiare di un risparmio sui costi pari a circa il 50%.
Attualmente McAfee sta utilizzando il cloud per rinnovare il proprio portafoglio SaaS in modo che possa soddisfare le esigenze dei clienti e del mercato. Gli ampliamenti sono focalizzati sull'integrazione di un maggior numero di funzionalità per la console di gestione basata su cloud, sulla protezione di email e sulla gestione delle vulnerabilità. Le soluzioni SaaS di McAfee sono e continueranno ad essere progettate per allinearsi con le modalità di sicurezza e di transazione delle aziende supportando, allo stesso tempo, le esigenze del business in continua evoluzione. Il portafoglio di soluzioni SaaS di McAfee fornisce soluzioni di protezione per endpoint, Web, email e analisi delle vulnerabilità sotto forma di servizio, correlate all'intelligence globale sulle minacce proveniente da Artemis, TrustedSource e SiteAdvisor.
Le funzionalità combinate di intelligence di McAfee aggiungono un livello essenziale di protezione contro le minacce più avanzate presenti oggi, inclusi l'insidioso malware Web e i virus morphing, attacchi di phishing mirati e altri. Si tratta del sistema di intelligence sulle minacce più preciso e completo al mondo; funziona raccogliendo informazioni da milioni di sensori, creando un profilo in tempo reale delle attività e dei contenuti sospetti e osservando deviazioni basate su comportamenti inaspettati".
E una testiomonianza dei benefici apportati da questa nuova modalità di fruizione dell'IT viene da F-Secure, che attraverso le parole di Michele Caldara Sales Manager Channel Business di F-Secure Italia, afferma: "L'utilizzo della tecnologia cloud computing ha apportato grandi benefici alle applicazioni di sicurezza end-point come F-Secure Client Security 9.0 e il modulo Workstation Security 9.0 di F-Secure Protection Service for Business. Sono due i vantaggi principali garantiti dal cloud: le prestazioni e il livello di sicurezza offerto. Dal punto di vista delle prestazioni, l'accesso al cloud permette di non utilizzare le risorse locali del proprio PC per controllare la pericolosità di ogni elemento sospetto ma garantisce la sicurezza attraverso richieste dirette a un database centrale, costantemente aggiornato. E' molto più rapido, infatti, verificare se un'applicazione è già stata analizzata e catalogata come pericolosa o innocua attraverso il cloud, piuttosto che impegnare localmente il computer dell'utente nell'analisi della singola minaccia. Per quanto riguarda il livello di sicurezza, è stata introdotta, in tutte le versioni 9 dei prodotti di protezione dei client, la funzionalità Browsing Protection che ci indica il livello di attendibilità dei siti web raccogliendo informazioni dal cloud. Solo attraverso la tecnologia cloud computing è infatti possibile mantenere aggiornati costantemente le notevoli quantità di informazioni richieste per fornire questo servizio".