Mitigazione del rischio e comunicazione del valore in ambienti multicloud

Sempre più aziende stanno adottando un approccio multicloud come parte dei loro sforzi di trasformazione digitale per supportare i team distribuiti che lavorano in modelli ibridi e remoti. E proprio mentre gli ambienti di lavoro ibridi sono destinati a restare, l'approccio multicloud ha preso piede. Gartner prevede che le entrate globali del cloud raggiungeranno $ 474 miliardi nel 2022, con 90% delle imprese già al lavoro per una strategia multicloud.

Se sfruttata correttamente, una strategia multicloud può rendere più efficienti molti processi. Offre inoltre una maggiore resilienza alle interruzioni e una maggiore flessibilità del fornitore rispetto a una strategia a cloud singolo. Ulteriori vantaggi includono:

• Evitare il blocco del fornitore con un provider cloud. Un'organizzazione con un'impronta globale e dati specializzati può selezionare l'ubicazione del data center con il minor impatto sulla propria attività. Ad esempio, Microsoft Azure è attualmente leader in Medio Oriente dal punto di vista della posizione del data center.
• La capacità di sfruttare le caratteristiche distintive offerte da ciascun fornitore di servizi cloud, come soluzioni di database uniche in Google Cloud o la capacità di gestire le risorse locali e cloud in modo molto più fluido in Microsoft Azure.
• Migliori costi e resilienza aziendale, con servizi specifici meno costosi grazie a un fornitore specifico e protezioni contro le interruzioni del servizio. Entrambi richiedono la progettazione dei servizi per sfruttare i vantaggi, ma una volta stabilita, l'organizzazione può recuperare il proprio investimento in due o tre anni, con conseguenti risparmi sui costi a lungo termine.

Tuttavia, questi vantaggi hanno un costo. Può essere difficile garantire che i dati e l'infrastruttura cloud siano sicuri e allineati ai tuoi obblighi e controlli quando ambienti diversi sono ospitati tramite più provider. Raccontare una storia unificata sui dati, la configurazione e la sicurezza all'interno di tali ambienti può essere quasi impossibile.

CISO che stanno adottando a approccio dati multicloud deve concentrarsi su due principali problemi di sicurezza: gestire i rischi posti dai fornitori e dai loro diversi modelli operativi cloud e dimostrare il valore dei loro controlli e strategie di sicurezza di fronte all'aumento dei costi operativi in ​​un mondo multicloud.

Gestione del rischio tra i cloud

L'impatto e la frequenza degli attacchi informatici sono cresciuti parallelamente alla crescente attenzione alle strategie multicloud. Attacchi ransomware, violazioni dei dati e gravi interruzioni dell'IT hanno superato la classifica Barometro del rischio Allianz quest'anno solo per la seconda volta nella storia del sondaggio, con i dirigenti che li classificano come più preoccupanti dell'interruzione della catena di approvvigionamento, dei disastri naturali e della pandemia. Le aziende hanno ragione a mostrare preoccupazione: organizzazioni in tutto il mondo con esperienza 50% in più di attacchi informatici settimanali nel 2021 rispetto al 2020.

I leader aziendali stanno recuperando terreno sull'importanza degli attacchi informatici, ma la maggior parte è poco informata sui rischi posti dai propri partner fornitori. In PwC “Sondaggio Global Digital Trust Insights del 2022"Il 57% dei leader aziendali ha affermato di prevedere un aumento degli attacchi ai servizi cloud, ma solo il 37% ha affermato di comprendere i rischi del cloud. L'approccio e i modelli operativi di sicurezza variano tra i fornitori di servizi cloud e la protezione dai rischi è una responsabilità condivisa che diventa più complessa man mano che si aggiungono servizi cloud comuni che utilizzano approcci diversi, come la gestione delle identità e degli accessi (IAM) o i server virtualizzati.

Ad esempio, diversi fornitori di cloud hanno il proprio approccio all'accesso basato sui ruoli. Amazon Web Services gestisce l'identità collegando le policy IAM direttamente a un server virtuale, che garantisce al server la possibilità di intraprendere azioni. L'offerta di Google Cloud, al contrario, si concentra sulla creazione di account di servizio (utenti) e quindi sul collegamento di tali account al server in modo che possa interagire con un'altra risorsa. Queste piccole differenze si sommano a livello aziendale, determinando la complessità della sicurezza per garantire privilegi minimi e altri requisiti di sicurezza su entrambi i cloud.

Poiché i servizi cloud non sono progettati per integrarsi con i loro concorrenti, imparare a utilizzare gli strumenti di sicurezza per ogni fornitore di servizi cloud è solo l'inizio. I team IT dovranno centralizzare il monitoraggio della sicurezza con uno strumento SIEM (Security Information Event Management), insieme ad altri strumenti di terze parti per aumentare l'interoperabilità dei servizi cloud. Questi sistemi aggiunti richiedono formazione e risorse aggiuntive e forse anche personale IT aggiuntivo per garantire competenze in ciascuna piattaforma cloud ed come queste piattaforme lavorano insieme.

Oltre a queste differenze intrinseche tra i loro servizi, la maggior parte dei fornitori di cloud dà la priorità alle proprie offerte di sicurezza su misura. Ciò comporta una serie di complicazioni che affliggono la sicurezza del cloud. Ad esempio, è possibile utilizzare un WAF (Web application firewall) cloud per proteggere la rete, ma funzionerà solo con uno specifico provider di servizi cloud e non può essere esteso a più offerte cloud. La duplicazione di queste funzionalità per provider diversi richiede la duplicazione dei team per supportare e gestire questi strumenti di sicurezza chiave o l'acquisto di un servizio indipendente dal cloud, che aggiunge un altro fornitore al mix.

Questi rischi e costi aggiuntivi, in genere non scoperti fino a una fase avanzata dell'implementazione di un modello multicloud, possono allungare le tempistiche, aumentare i costi e attivare risultati di audit. La mancata pianificazione e mitigazione di questi rischi può esporre un'azienda a perdite finanziarie, azioni normative, contenziosi e danni alla reputazione.

Comunicare il valore con la quantificazione del rischio

Gartner stima che entro il 2023, 30% dell'efficacia dei CISO dipenderà dalla loro capacità di dimostrare valore. Man mano che le strategie di dati multicloud diventano la norma e il costo dei controlli di sicurezza all'interno di tale strategia aumenta, la quantificazione del rischio può aiutare i leader a comunicare il proprio valore in modo coerente esprimendo la posizione di rischio multicloud in valori monetari chiari.

Secondo PwC, le organizzazioni che hanno riportato il miglioramento più significativo nei risultati della fiducia dei dati avevano due cose in comune: avevano previsto un aumento della loro spesa per la sicurezza informatica e avevano incorporato la business intelligence e l'analisi dei dati nei loro modelli operativi, inclusa la quantificazione del rischio.

Per valutare i rischi finanziari di una strategia multicloud, i CISO devono tenere conto dei costi di ciascuna piattaforma rispetto ai rischi percepiti. Tali considerazioni devono includere la gestione dei dati e le pratiche di sicurezza informatica di tutti i fornitori di servizi cloud che stai prendendo in considerazione, insieme a qualsiasi strumento e piattaforma indipendenti dal cloud che utilizzerai per il monitoraggio congiunto.

Con così tanti fattori in gioco, non puoi permetterti di fare affidamento su scale di misurazione imprecise e istintive come "basso, medio, alto" e "rosso, giallo, verde". Esprimere i dati di rischio in termini finanziari è uno strumento potente perché offre un linguaggio comune per comunicare le mutevoli priorità di rischio, migliorare l'allineamento tra i CISO e il consiglio di amministrazione e facilitare decisioni di gestione del rischio più informate.

Ecco un esempio: un CISO sta esaminando il valore finanziario associato ai vari rischi dell'architettura multicloud. Confrontando le tattiche per mitigare un incidente di sicurezza informatica, scoprono che migliori controlli sui privilegi amministrativi riducono il costo finanziario dell'evento molto di più rispetto all'implementazione di un programma di formazione sulla sicurezza informatica. Mentre il CISO comprende i dettagli tecnici del rischio informatico all'interno dell'architettura multicloud, il resto del C-suite beneficerà della chiarezza dei valori monetari associati a ogni rischio e tattica di mitigazione. Consentendo ai CISO di presentare le proprie ragioni ai colleghi e al consiglio di amministrazione, la quantificazione del rischio porta maggiore trasparenza alle molte parti in movimento di una strategia multicloud.

Secondo Gartner, oltre l'85% delle organizzazioni funzionerà come cloud-first entro il 2025 e non sarà in grado di realizzare pienamente le proprie strategie digitali senza utilizzare tecnologie native del cloud. Un leader di Gartner la mette così: "Non esiste strategia aziendale senza una strategia cloud".

È imperativo che i leader aziendali perseguano strategie per salvaguardare i propri dati e comunicare le proprie priorità multicloud, allineandosi in tutta l'organizzazione con un linguaggio comune di valore.