DSPM per la sicurezza dei dati multi-cloud: visibilità unificata su AWS, Azure e GCP

Perché il multi-cloud cambia il panorama della sicurezza dei dati

I team che si occupano di cloud raramente operano all’interno di un unico ecosistema. AWS viene spesso utilizzato per l’ampia gamma di servizi offerti e per i controlli di archiviazione ben consolidati. Azure è diffuso nelle aziende incentrate su Microsoft. GCP è ampiamente adottato per l’analisi dei dati, l’ingegneria dei dati e l’apprendimento automatico. Ciascun cloud offre flessibilità, ma ciascuno presenta anche un modello di sicurezza diverso.

AWS struttura l’accesso ai dati attorno a più livelli di controllo sovrapposti, tra cui le politiche dei bucket S3, le politiche IAM, gli elenchi di controllo degli accessi (ACL), gli Access Point e le politiche di controllo dei servizi. Il suo modello di perimetro dei dati richiede alle organizzazioni di definire identità affidabili, risorse affidabili e percorsi di rete previsti. Azure integra la sicurezza dello storage con il controllo degli accessi basato sui ruoli, le impostazioni degli account di storage, la prevenzione dell’accesso anonimo e le configurazioni degli endpoint privati. Le linee guida Zero Trust di Microsoft per lo storage di Azure pongono l’accento sulla protezione dei dati in tutti e tre gli stati — a riposo, in transito e in uso — applicando al contempo i principi di accesso con privilegi minimi e la verifica continua. Google Cloud implementa la sicurezza dello storage tramite Cloud IAM, politiche organizzative, controlli di accesso uniformi a livello di bucket e restrizioni per la prevenzione dell’accesso pubblico. Google Cloud si è inoltre orientata verso politiche organizzative più rigorose, basate sul principio “secure-by-default”, che includono controlli in grado di impedire automaticamente l’accesso pubblico ai bucket di storage e di applicare modelli di autorizzazione coerenti.

Lo stesso requisito in materia di protezione dei dati — impedire l’accesso pubblico ai file sensibili — richiede approcci di implementazione diversi a seconda delle piattaforme. Ecco perché un processo di revisione manuale, effettuato separatamente per ogni singolo cloud, risulta inefficace su larga scala.

Il valore aggiunto di DSPM

Il DSPM offre ai team di sicurezza un livello incentrato sui dati che fornisce risposta a quattro domande relative all’infrastruttura cloud:

Dove si trovano i dati? Di che tipo di dati si tratta? In che modo sono resi accessibili? Chi può accedervi?

Soluzioni DSPM efficaci garantiscono un monitoraggio continuo in queste quattro dimensioni fondamentali del rischio legato ai dati nel cloud: ubicazione, sensibilità, contesto di esposizione e percorsi di accesso.

Le moderne piattaforme DSPM sono in grado di identificare le informazioni sensibili presenti in sistemi di archiviazione a oggetti, database gestiti, repository di data lake, sistemi di backup, snapshot di macchine virtuali e set di dati di addestramento per l’intelligenza artificiale. Motori di classificazione avanzati individuano informazioni di identificazione personale (PII), documenti finanziari, proprietà intellettuale, credenziali, chiavi API e tipologie di dati soggetti a normative, integrando al contempo il contesto aziendale. Il contesto di esposizione comprende l’accesso pubblico a Internet, autorizzazioni di accesso anonime, ruoli IAM eccessivamente ampi, ACL legacy, condivisione tra account e entità di servizio con privilegi eccessivi. La mappatura dei percorsi di accesso identifica gli utenti umani, gli account di servizio, le applicazioni e le identità federate in grado di accedere ai dati sensibili tramite autorizzazioni dirette, ereditarietà dei ruoli o percorsi di escalation dei privilegi.

Il modello MITRE ATT&CK documenta tecniche rilevanti per l’ambiente cloud che comportano l’abuso di autorizzazioni e l’accesso con privilegi elevati, a conferma del motivo per cui il DSPM deve valutare sia il contesto di accesso sia la posizione dei dati.

Perché la visibilità continua è importante

Le valutazioni puntuali non sono più sufficienti. Negli ambienti multi-cloud, le configurazioni di archiviazione, le impostazioni di condivisione e le relazioni tra le identità cambiano costantemente. Un set di dati che lunedì è privato può diventare pubblico martedì a causa di una configurazione errata, di una modifica che rende la politica più permissiva o di un nuovo percorso di integrazione.

L’individuazione continua è più efficace delle valutazioni puntuali perché rileva le esposizioni non appena si presentano. La definizione delle priorità di rischio riduce inoltre i costi operativi, aiutando i team a concentrarsi sulle esposizioni più rilevanti. Anziché generare lunghi elenchi di risultati con lo stesso livello di gravità, il DSPM mette in correlazione la sensibilità dei dati con la gravità dell’esposizione, consentendo ai team di risolvere per prime le problematiche con il maggiore impatto.

Ciò riveste importanza sia dal punto di vista operativo che tecnico. Il “Data Breach Investigations Report 2026” di Verizon ha rilevato che lo sfruttamento delle vulnerabilità è diventato il principale punto di accesso alle violazioni, rappresentando il 31% dei casi. Se gli aggressori sono sempre più alla ricerca di punti deboli nei sistemi esposti e di configurazioni errate, la visibilità sull’esposizione dei dati diventa una difesa concreta, non solo una funzione di rendicontazione.

Il rapporto IBM “Cost of a Data Breach Report 2025” ha riportato un costo medio globale delle violazioni pari a 4,44 milioni di dollari, rafforzando così le ragioni economiche a favore di una maggiore visibilità dei dati e di controlli più rigorosi negli ambienti distribuiti.

In che modo il DSPM favorisce la conformità e la governance

Il DSPM può rafforzare la conformità e la governance fornendo una visibilità continua sul trattamento dei dati soggetti a regolamentazione sulle piattaforme cloud. È in grado di generare report che indicano dove risiedono i dati soggetti a regolamentazione, chi può accedervi e in che misura i controlli di accesso siano in linea con i requisiti di conformità.

Ciò non sostituisce un programma di conformità più ampio, ma riduce l’onere amministrativo legato all’inventario, alla classificazione e alla raccolta delle prove. Il risultato è una visione più aggiornata dei rischi legati ai dati e un modo più pratico per supportare gli audit e le revisioni interne di governance.

Il DSPM può aiutare a mappare i dati individuati in base ai requisiti normativi e alle politiche interne pertinenti. Il valore fondamentale non risiede nell’etichetta in sé, bensì nella combinazione di individuazione, classificazione e analisi degli accessi, che rende le decisioni in materia di governance più affidabili.

Sfruttando i controlli nativi del cloud

Il DSPM funziona al meglio quando è in grado di interpretare i controlli nativi già offerti da ciascun fornitore di servizi cloud.

AWS pone l’accento sui controlli del perimetro dei dati e sui limiti di accesso basati sull’identità. Il suo modello di governance dello storage si basa sull’applicazione di politiche a più livelli, in cui la funzione “S3 Block Public Access” funge da linea di base fondamentale per prevenire l’esposizione accidentale. Le linee guida di Azure relative allo storage sono strettamente allineate ai principi Zero Trust, in particolare per quanto riguarda il principio del privilegio minimo, la connettività privata e la prevenzione dell’accesso anonimo. Google Cloud ricorre sempre più spesso a politiche organizzative “secure-by-default”, a un accesso uniforme a livello di bucket e alla prevenzione dell’accesso pubblico per ridurre i modelli di esposizione più comuni prima che si diffondano.

Un programma DSPM efficace dovrebbe comprendere tali meccanismi di protezione nativi, per poi valutare se le configurazioni effettive siano in linea con il livello di sicurezza previsto.

Il DSPM nel contesto più ampio della sicurezza

Il DSPM non è concepito per funzionare in modo autonomo.

CNAPP si concentra sulla sicurezza dei carichi di lavoro, sulla gestione delle vulnerabilità, sulle configurazioni errate dell’infrastruttura e sulla protezione in fase di esecuzione. DSPM si concentra sulla posizione dei dati, sulla loro sensibilità e sui modelli di accesso. SSE protegge i dati in movimento attraverso funzionalità SWG, CASB e ZTNA, mentre DSPM si concentra sui dati inattivi e sul contesto di esposizione nei servizi di infrastruttura cloud. DLP eccelle nel monitoraggio dei flussi di dati e nella prevenzione della condivisione non autorizzata, mentre DSPM fornisce l’inventario e il contesto di rischio. CASB si concentra sulla governance SaaS, sull’analisi del comportamento degli utenti e sull’applicazione delle politiche in linea, mentre DSPM estende la visibilità ai servizi di infrastruttura cloud.

Poiché questi strumenti risolvono problematiche diverse, funzionano al meglio se integrati. La piattaforma SSE Skyhigh Security combina funzionalità SWG, CASB, ZTNA, DLP, RBI e di sicurezza dei dati, consentendo alle organizzazioni di applicare politiche coerenti, correlare i risultati tra i diversi ambiti di sicurezza e ottimizzare i flussi di lavoro di correzione. Skyhigh è stata riconosciuta come «Niche Player» nel Magic Quadrant 2025 di Gartner Magic Quadrant Security Service Edge ha ottenuto il punteggio più alto nel caso d’uso relativo alla sicurezza dei dati nel rapporto Critical Capabilities SSE» 2025 di Gartner. I risultati del DSPM dovrebbero integrarsi con API, connettori SIEM, sistemi di ticketing e la sincronizzazione delle politiche con le piattaforme SSE.

Cosa cercare in un programma DSPM

Una strategia DSPM multi-cloud efficace dovrebbe comprendere la copertura dei servizi nativi, l’integrazione delle identità, il contesto di rete e il supporto alla registrazione dei log in ambiente cloud-native su AWS, Azure e GCP. Dovrebbe inoltre essere scalabile su più account cloud, abbonamenti e progetti, mantenendo al contempo prestazioni e caratteristiche di costo accettabili.

Il DSPM multi-cloud dovrebbe supportare l’integrazione nativa con servizi quali Amazon S3, RDS e Redshift; Azure Blob Storage, SQL Database e Synapse; nonché Google Cloud Storage, Cloud SQL e BigQuery. La soluzione dovrebbe inoltre tenere conto dei repository di dati e dei servizi di analisi specifici del cloud, oltre alle funzionalità di base relative all’object storage e ai database.

Una classificazione avanzata dei dati dovrebbe combinare il riconoscimento dei modelli, l’apprendimento automatico, la valutazione del contesto e l’integrazione dei metadati aziendali. L’analisi dell’accesso multipiattaforma dovrebbe mappare le relazioni tra identità e autorizzazioni nei diversi sistemi IAM cloud, al fine di identificare i percorsi di accesso e le opportunità di escalation dei privilegi.

Le funzionalità di correzione automatizzata possono aiutare i team ad affrontare le esposizioni ad alto rischio, quali l’accesso pubblico o controlli di accesso eccessivamente permissivi, preservando al contempo le tracce di audit. I risultati migliori si ottengono solitamente abbinando le linee guida per la correzione ai flussi di lavoro di revisione e all’applicazione delle politiche, non perseguendo la piena automazione prima di aver compreso a fondo l’ambiente.

Un approccio pratico all'implementazione

L'implementazione dovrebbe iniziare con la fase di analisi, per poi passare alla fase di correzione. Tale sequenza consente di mantenere il progetto gestibile e aiuta i team a dimostrare il proprio valore sin dalle prime fasi.

La fase iniziale dovrebbe concentrarsi sull’inventario dei dati sensibili, sull’identificazione delle esposizioni a rischio più elevato e sulla mappatura dei percorsi di accesso negli ambienti cloud. Una volta che il team avrà acquisito un quadro chiaro e completo del patrimonio di dati nel cloud, potrà passare all’allineamento delle politiche, all’integrazione dei flussi di lavoro e alla pianificazione delle misure correttive.

Le organizzazioni spesso iniziano con la fase di individuazione e la definizione delle priorità di rischio, per poi passare alla fase di correzione e al monitoraggio continuo.