Cos'è il modello di responsabilità condivisa nel cloud computing?

Il modello di responsabilità condivisa delinea i doveri di sicurezza specificando i diritti e le responsabilità sia del fornitore di servizi cloud che del cliente. In sostanza, chiarisce chi è responsabile di ciascun aspetto della sicurezza per garantire una protezione efficace dell'ambiente cloud. Le specifiche di questa divisione sono leggermente diverse a seconda del modello di servizio (SaaS, PaaS, IaaS).

The differences between the three models include:

• SaaS (Software-as-a-Service): The provider handles the underlying infrastructure, the application, and the data, while the customer is in charge of user access and data classification.
• PaaS (Platform-as-a-Service): The provider is responsible for the supporting system, including Web service, operative system, etc., while the customer is responsible for all applications and data.
• IaaS (Infrastructure-as-a-Service): The provider controls the physical layer while the customer controls applications, operating systems, and data.

Here are the detailed responsibilities of SaaS providers:

• Physical security: Protect data centers and hardware.
• Network security: Protezione contro le minacce poste da accessi non autorizzati o attacchi informatici.
• Sicurezza delle applicazioni: Aggiornamento del software per correggere debolezze di sicurezza o bug per prevenire violazioni
• Sicurezza dei dati: Crittografia dei dati sia quando sono archiviati che durante la trasmissione, e assicurarsi che ci siano backup o ripristino di emergenza.
• Sicurezza operativa: Rilevamento delle minacce e risposta agli eventi di sicurezza.

Il cliente SaaS dovrebbe considerare:

• Sicurezza del dispositivo: Protezione del dispositivo utilizzato per accedere all'applicazione SaaS.
• Access management: Managing the right limitations of the users and their ability to access an application, the procedures to verify their identity, and the authorization to access the application.
• Formazione sulla consapevolezza della sicurezza: Training of the employees on security measures and phishing risks.
• Data classification: Identifying sensitive data and putting measures in place to protect it.
• Incident response: Having a contingency plan as to how the security threats could be handled.

Organizations and Software as a Service providers and suppliers should:

1. Rivedi regolarmente la documentazione e le certificazioni sulla sicurezza del fornitore SaaS documentazione e certificazioni sulla sicurezza: Learn about their security practices and make sure that they meet your organization’s standards.
2. Stabilisci chiari canali di comunicazione: Mantieni una comunicazione chiara con il tuo fornitore SaaS per discutere di problemi di sicurezza, segnalare eventuali problemi e rimanere aggiornato sulle modifiche alla sicurezza.
3. Partecipa a programmi di sensibilizzazione sulla sicurezza: Incoraggia i tuoi dipendenti a seguire la formazione sulla sicurezza fornita dal provider SaaS.
4. Conduci valutazioni congiunte sulla sicurezza: Collaborare per identificare e ridurre i rischi nell'ambiente condiviso.
5. Stabilire un Service Level Agreement (SLA): Stabilire i requisiti di sicurezza e i doveri in un documento contrattuale firmato da entrambe le parti.