Oltre il CSPM: colmare le lacune nella sicurezza dei dati nel cloud

La gestione della postura di sicurezza nel cloud (CSPM) è diventata uno strumento fondamentale per individuare configurazioni errate nel cloud, deviazioni dalle politiche e impostazioni non sicure del piano di controllo, ma non risponde a tutte le questioni incentrate sui dati alle quali i team di sicurezza necessitano di una risposta.

CSPM è progettato per automatizzare la valutazione dello stato di sicurezza e rilevare eventuali scostamenti negli ambienti cloud. È in grado di identificare servizi esposti, ruoli IAM con privilegi eccessivi, archiviazione non crittografata, snapshot pubblici e violazioni delle politiche su AWS, Azure, Google Cloud e altre piattaforme IaaS. Tale funzionalità è essenziale. I rapporti DBIR di Verizon continuano a evidenziare che gli errori e le configurazioni errate rimangono fattori determinanti nelle violazioni; l’infografica del DBIR 2024 ha riportato che gli errori hanno rappresentato il 28% delle violazioni, con le configurazioni errate che costituiscono un modello di errore ricorrente.

Tuttavia, gli strumenti CSPM tradizionali si concentrano sulla configurazione dell’infrastruttura e sulla sicurezza del piano di controllo, non sul contenuto o sulla sensibilità dei dati. Essi non esaminano in modo approfondito quali dati contengano le risorse, quanto siano sensibili tali dati o chi possa effettivamente accedervi attraverso i vari percorsi di accesso. Un bucket di archiviazione può essere conforme dal punto di vista della configurazione, pur esponendo i dati dei clienti a causa di autorizzazioni di accesso eccessivamente condivise o di collegamenti esterni.

Tale lacuna è rilevante poiché il rischio legato ai dati nel cloud non si limita alle evidenti configurazioni errate. Molte vie di attacco al cloud comportano l’utilizzo di credenziali compromesse e l’abuso di account validi, non solo errori di configurazione tecnica. Il modello MITRE ATT&CK documenta tecniche in cui gli aggressori utilizzano account cloud validi per accedere alle risorse ed esfiltrare i dati verso archivi cloud. In tali scenari, l’infrastruttura può apparire correttamente configurata, mentre i dati rimangono esposti. Fonte: https://attack.mitre.org/

La gestione della sicurezza dei dati nel cloud richiede visibilità su dove vengono archiviati i dati sensibili, come vengono trasferiti, chi può accedervi e come cambia il loro livello di esposizione nel tempo. Ciò significa andare oltre i semplici controlli di sicurezza e concentrarsi sull’individuazione, la classificazione, l’analisi dell’esposizione e il monitoraggio continuo negli ambienti cloud e SaaS: funzionalità che definiscono un approccio completo alla gestione della sicurezza dei dati (DSPM).

I punti di forza del CSPM

CSPM è particolarmente efficace nell’individuare problemi nell’infrastruttura cloud che comportano rischi a livello di piano di controllo. Monitora costantemente le configurazioni cloud confrontandole con i valori di riferimento e i quadri di conformità. È in grado di individuare problemi quali:

• Spazio di archiviazione accessibile al pubblico

• Ruoli con privilegi eccessivi e autorizzazioni eccessive

• Risorse non crittografate / crittografia disabilitata

• Gruppi di sicurezza aperti e servizi/database esposti

• Violazioni delle politiche interne o dei requisiti normativi

Per i team che si occupano di cloud, tale visibilità è preziosa. Aiuta a individuare le lacune nella sicurezza, a far rispettare le politiche e a ridurre i rischi comuni causati dalle deviazioni di configurazione. Inoltre, consente di effettuare controlli ripetibili su più fornitori di servizi cloud, cosa difficile da realizzare manualmente su larga scala.

I limiti del CSPM

Il limite risiede nell'ambito di applicazione. Il CSPM verifica l'ambiente, ma non indica cosa contenga tale ambiente.

Un bucket può superare tutti i controlli di configurazione, ma contenere comunque dati soggetti a regolamentazione. Uno spazio di lavoro collaborativo può rispettare le impostazioni approvate, mentre un file sensibile viene condiviso con un pubblico troppo ampio. Un database cloud può essere protetto a livello di rete, ma gli utenti dell’applicazione, gli account di servizio o le autorizzazioni ereditate possono creare esposizioni impreviste.

Ecco perché il CSPM da solo non è in grado di rispondere alle domande che stanno più a cuore ai team di sicurezza:

• Dove si trovano i dati sensibili?

• Di che tipo di dati si tratta?

• Chi può accedervi?

• In che modo viene condiviso?

• Quali esposizioni comportano il rischio aziendale più elevato?

Inoltre, le soluzioni CSPM tradizionali offrono una visibilità limitata sui flussi di dati tra piattaforme diverse. Lo strumento che protegge il vostro ambiente AWS potrebbe non avere alcuna visibilità su come i dati si spostano tra AWS e Microsoft 365, Salesforce o altri servizi cloud. Potrebbe inoltre non rilevare i repository “ombra” creati tramite servizi di archiviazione cloud personali, l’utilizzo non autorizzato di soluzioni SaaS o le esportazioni verso strumenti di collaborazione esterni.

Perché il contesto dei dati influisce sulle priorità

I team di sicurezza possono trovarsi a dover gestire grandi volumi di risultati relativi allo stato di sicurezza, ma senza il contesto dei dati potrebbero avere difficoltà a stabilire le priorità tra i rischi di maggiore impatto. Un ambiente di test a basso rischio con dati sintetici non dovrebbe ricevere la stessa urgenza di un sistema di produzione contenente i dati finanziari dei clienti.

È proprio questa distinzione a rendere importante la visibilità basata sui dati. Essa aiuta a distinguere i problemi tecnici rilevanti da quelli che sono realmente critici per l’azienda. Un avviso relativo a un archivio pubblico è grave, ma se la risorsa non contiene informazioni sensibili, la risposta potrebbe differire rispetto a quella necessaria per un archivio esposto in modo analogo che contenga documenti soggetti a normative o proprietà intellettuale.

La governance degli accessi rappresenta un altro punto cieco. Il CSPM può verificare che siano in vigore politiche generali relative all’infrastruttura, ma non mappa in modo completo il modo in cui gli accessi si accumulano attraverso gruppi, autorizzazioni delle applicazioni, risorse condivise, accessi basati su token o integrazioni di terze parti. Nel corso del tempo, tali relazioni possono creare vulnerabilità che i controlli di base sullo stato di sicurezza non riescono a individuare.

I vantaggi offerti dalla gestione dello stato di sicurezza dei dati (DSPM)

La gestione della sicurezza dei dati (DSPM) estende la visibilità dall’infrastruttura ai dati. Si concentra sull’individuazione delle informazioni sensibili, sulla loro classificazione, sulla comprensione delle modalità con cui sono esposte e sul monitoraggio delle variazioni di tale esposizione.

Una solida gestione della sicurezza dei dati inizia con l’individuazione dei dati presenti nell’infrastruttura cloud e SaaS. È necessario identificare dove si trovano i dati, sia che si tratti di archiviazione cloud, strumenti di collaborazione o applicazioni autorizzate e non autorizzate.

A questo punto, la classificazione aggiunge il contesto aziendale. L’analisi dei contenuti da sola non è sufficiente; i dati devono essere interpretati in termini di sensibilità e impatto. Ciò significa distinguere tra file ordinari e documenti soggetti a normative specifiche, quali informazioni personali identificabili (PII), dati PCI, documenti finanziari o proprietà intellettuale.

L'analisi dell'esposizione individua quindi le modalità attraverso cui è possibile accedere ai dati. Ciò comprende le autorizzazioni, le impostazioni di condivisione, i collegamenti esterni, l'accesso ereditato dai gruppi, l'esposizione tramite API, le integrazioni e il comportamento degli utenti. Si tiene inoltre conto del modo in cui un malintenzionato potrebbe accedere ai dati tramite la compromissione di un account o l'escalation dei privilegi.

Infine, il monitoraggio continuo garantisce che le variazioni relative al flusso, alla condivisione e all’accesso ai dati vengano rilevate non appena si verificano. Negli ambienti cloud, l’esposizione può variare rapidamente man mano che i team collaborano, automatizzano i processi e integrano nuovi servizi.

Il CSPM e il DSPM sono complementari

Il CSPM e il DSPM non sono alternativi. Risolvono problemi diversi e funzionano al meglio se utilizzati insieme.

Il CSPM garantisce la sicurezza del livello infrastrutturale. Indica se le risorse cloud sono configurate correttamente e se sono stati implementati i controlli di base. Il DSPM estende la visibilità al livello dei dati. Indica quali dati sensibili sono presenti, dove sono archiviati, chi può accedervi e in che modo potrebbero essere esposti.

Questa visione d’insieme offre ai team di sicurezza una risposta più completa alle questioni relative sia all’infrastruttura che ai dati. Consente inoltre una migliore definizione delle priorità di rischio, poiché il team è in grado di collegare un errore di configurazione alle risorse e ai dati che esso effettivamente interessa.

Le organizzazioni che si avvalgono di piattaforme unificate, come la soluzione completa Security Service Edge SSE) Skyhigh Security, possono integrare una visibilità incentrata sia sull’infrastruttura che sui dati per gestire l’intero spettro dei dati nel cloud e della gestione dei rischi legati ai dati.

Esempio pratico

Si consideri un team di sviluppo che esporta il codice sorgente su un servizio di archiviazione cloud a fini di collaborazione. Il CSPM potrebbe indicare che l’account di archiviazione è crittografato, privato e conforme alle politiche di riferimento. Dal punto di vista dell’infrastruttura, ciò appare accettabile.

Tuttavia, un’analisi basata sui dati potrebbe rivelare un quadro diverso. Il repository potrebbe contenere algoritmi proprietari, accessi non più validi di collaboratori esterni o collegamenti condivisi che non sono mai stati revocati. In tal caso, il rischio non risiede esclusivamente nella configurazione del cloud, bensì nella combinazione tra configurazione, contenuto e percorso di accesso.

Lo stesso vale per gli strumenti di collaborazione SaaS. I file possono essere archiviati in applicazioni approvate, ma comunque condivisi con soggetti esterni, acquisiti tramite l’appartenenza a un gruppo o accessibili tramite app collegate e integrazioni API. Il CSPM non è progettato per mappare in dettaglio tali relazioni di condivisione dei dati.

Perché i moderni programmi cloud necessitano di entrambe le prospettive

Con l’espansione dell’utilizzo del cloud, i dati sensibili si diffondono su un numero sempre maggiore di servizi, identità e canali di collaborazione. I controlli a livello di infrastruttura rimangono necessari, ma da soli non sono più sufficienti.

Una strategia di sicurezza cloud matura richiede una visibilità unificata sia sul piano di controllo che su quello dei dati. Ciò significa integrare il CSPM con funzionalità incentrate sui dati in grado di individuare i contenuti sensibili, mappare l’esposizione e supportare una risposta basata sul rischio.

Le organizzazioni che combinano questi approcci sono in grado di rispondere meglio a domande quali:

• La risorsa cloud è configurata in modo sicuro?

• Contiene dati sensibili?

• Le persone autorizzate possono accedervi?

• È accessibile tramite condivisione, integrazioni o collegamenti esterni?

• Quali problemi andrebbero risolti per primi?

Tali domande definiscono la differenza tra una configurazione sicura e uno stato di sicurezza dei dati.