Security by design

Security by design: l’approccio per il cloud diverso e necessario

Fin dalle prime fasi di ideazione e progettazione è necessario tenere conto di una priorità sempre più urgente: la sicurezza. Con la forte e repentina diffusione del cloud, combinata con una workforce diffusa, per proteggersi serve infatti l’approccio security by design in cui tutto è “disegnato” per minimizzare il rischio

22 Ott 2021

Se fino a qualche anno fa quando si pensava alla cyber security lo si faceva in termini difensivi o riparativi, focalizzandosi su antivirus e firewall, con l’aumento degli attacchi criminali (nel 2020 +12% a livello globale rispetto al 2019 e +66 % rispetto al 2017 secondo Clusit) e la forte diffusione, causa Covid-19, del cloud e del lavoro da remoto, è necessario cambiare approccio. Per proteggere le applicazioni moderne e permetterne un utilizzo più efficiente, completo e flessibile sfruttando al meglio tutte le potenzialità del multi cloud o del cloud ibrido, serve un’infrastruttura sicura per progettazione, il cui codice è stato scritto in quest’ottica, basandosi sul concetto di security by design.

Cosa significa security by design

Ogni programmatore e sviluppatore che sposa questa strategia sceglie di tenere conto di determinati elementi o parametri durante ogni fase di scrittura del codice, da quella di ideazione a quella di testing. Questo vale sia per lo sviluppo software che hardware e si traduce in misure come il monitoraggio continuo, l’utilizzo di credenziali e l’aderenza a best practices sempre aggiornate puntando all’automatizzazione dei controlli di protezione dei dati dell’azienda e alla formalizzazione della procedura di progettazione integrando la sicurezza nei processi di gestione IT. Quest’ultimo passaggio è fondamentale in ottica cloud per poter prevedere attacchi e minacce fin dalle primissime fasi e attuare scelte strategiche assicurandosi che il sistema informatico abbia una base solida ma non limiti la scalabilità e la flessibilità conquistate con la migrazione.

Non solo con la security si può ragionare in ottica “by design” ma anche con la privacy, ad esempio, integrando la protezione dei dati nell’intero ciclo di vita di un progetto: è in ogni caso un approccio rivoluzionario che richiede un rovesciamento del punto di vista non solo al team IT ma all’intera azienda che ne trae poi notevole beneficio avvalendosi di strategie più efficaci e soluzioni più adatte all’attuale contesto globale e al nuovo modo di fare business premiato dal mercato.

Ad invocare un cambio di paradigma ci aveva pensato già il regolamento UE per la protezione dei dati con lo standard ISO 27001 emesso nel 2005 e più volte aggiornato in cui si chiede un approccio security by design nello sviluppo di software ovvero l’introduzione, fin dalla fase di progettazione, di un processo di risk assessment con l’identificazione dei rischi, la loro analisi e valutazione, la selezione degli obiettivi di controllo e il controllo per la gestione dei rischi, l’assunzione del rischio residuo da parte del management e la definizione di obiettivi e controlli implementati alla luce degli obiettivi previsti.

I 10 principi della security by design, in open source

A segnalare una serie di pratici e concreti accorgimenti da seguire per ottenere servizi, programmi, applicazioni e prodotti affidabili e progettati appositamente per essere sicuri è l’iniziativa no profit open source OWASP (Open Web Application Security Project). Sono 10, la maggior parte dei quali risulta particolarmente interessante in ottica cloud.

  1. Minimizzare la superficie di attacco limitando le funzioni a cui gli utenti possono accedere, per ridurre le potenziali vulnerabilità
  2. Stabilire impostazioni predefinite sicure con regole di sicurezza forti e restrittive “by default” per la registrazione degli utenti
  3. Il principio del minimo privilegio (POLP) che concede all’utente solo gli accessi strettamente necessari per lo svolgimento dei suoi compiti
  4. Il principio della difesa in profondità che prevede più controlli di sicurezza per affrontare i rischi in tanti modi diversi
  5. Fallire in modo sicuro assicurandosi che non si aprano varchi nella sicurezza dell’organizzazione
  6. Non fidarsi dei servizi di terze parti, in ottica “zero trust”, controllando sempre anche la validità dei dati ricevuti
  7. Separare i compiti per ostacolare gli individui con intenzioni fraudolente
  8. Evitare la sicurezza per oscurità che potrebbe richiedere ad esempio per un’applicazione che l’URL dell’amministratore sia nascosto per restare sicura
  9. Mantenere la sicurezza semplice in ogni suo meccanismo, sia lato utente che lato IT, perché la complessità delle procedura fa aumentare il rischio di errore
  10. Risolvere i problemi di sicurezza non solo determinandone la causa ma anche identificando tutti i sistemi interessati e prevedendo sempre un piano di recovery

 

Come funziona la security by design fase per fase

Per applicare questo approccio in modo serio ed efficace non basta coglierne l’importanza e apprezzarne la prudenza, serve agire in modo sistematico con un piano basato su controlli, verifiche e audit, ben consapevoli che ne valga la pena. Questo effort iniziale di progettazione è infatti decisamente minore di quello potenzialmente previsto in caso un attacco venga messo a segno e questo vale soprattutto in ambienti cloud in cui energie e tempi investiti non sarebbero paragonabili. Per innalzare il livello di sicurezza di un’organizzazione è necessario

  • valutare vulnerabilità e rischi informatici definendo i requisiti di sicurezza;studiare la superficie di attacco disponibile sviluppando modelli per le minacce (threat modeling) e trovando le possibili criticità (abuse case);
  • analizzare vulnerabilità a livello sia architetturale che implementativo
  • identificare conseguenze e stimare impatti di possibili vulnerabilità in produzione;
  • indicare contromisure, sia di natura organizzativo-procedurale che tecnologica, per minimizzare i rischi;
  • effettuare i security test necessari, sia in modalità black box che white box (Penetration test, il Vulnerability Assessment e il Binary Code Review)

Nel cloud “security by design” da adottare “by default” ma con quali vantaggi?

Da quando gli attacchi non sono solo aumentati di numero ma anche di livello di sofisticatezza espandendo la gamma di obiettivi sensibili dalle micro aziende alle big, dalla PA agli ospedali fino anche alle organizzazioni no profit, un approccio prudente come quello “by design” garantisce una maggiore sicurezza regalando maggiore “serenità”. Non potendo però definirsi mai del tutto “sereni” di fronte ad un pericolo così probabile, mentre si lotta ogni giorno per far sì che la propria organizzazione non sia presa di mira da qualche hacker si guarda ad altri vantaggi a partire da quelli economici che sono decisamente significativi.

Da un lato la security by design permette infatti di ottimizzare i costi e ridurre le spese dovute a sistemi difensivi retroattivi estremamente onerosi e dall’altro minimizza i danni finanziari e d’immagine di un eventuale attacco.

Lato IT si può godere di un codice pulito, funzionale e di qualità, una certezza importante per chi ci lavora ogni giorno e che potrà così rimediare alle vulnerabilità emerse in un secondo momento o agli errori in modo più agile senza trovarsi nelle condizioni di ritirare il prodotto causando un danno anche al business e non solo una scocciatura agli sviluppatori.

Dall’IoT al GDPR, le tante applicazioni della security by design

Trattandosi di un approccio rivoluzionario a 360 gradi, quello della security by design si può applicare in diversi settori, non riguarda quindi solo chi progetta infrastrutture o applicazioni o chi ha migrato al cloud, è un passo avanti per la sicurezza dell’intero mondo interconnesso in cui viviamo, come dimostrano i seguenti esempi.

Internet of Things

La grande mole di dati raccolti con la diffusione sempre più penetrante in ogni settore dei dispositivi IoT ha impattato sulla privacy degli utenti ma ha anche ampliato significativamente la superficie di attacco rendendo fondamentale l’approccio security by design. Ciò ha significato quindi da un lato salvaguardare la privacy degli utenti finali, anticipandone le richieste, dall’altro progettare dispositivi che puntino alla sicurezza già in fase di sviluppo attraverso un codice ottimizzato per evitare update dopo il lancio di un prodotto.

GDPR e privacy 

Con l’introduzione di nuove norme sulla privacy entrate in vigore nel 2018, il GDPR ha radicalmente rovesciato la filosofia delle precedenti regole in materia obbligando tutte le organizzazioni ad occuparsi maggiormente della sicurezza e della protezione dei dati personali, non solo rimediando agli errori ma anche garantendo una proattiva attività di prevenzione. Come? Con la security by design, programmando processi di trattamento dei dati personali già sicuri fin dalla fase di progettazione.

 Industria 4.0

Le nuove tecnologie e il digitale hanno fatto irruzione nelle fabbriche con l’avvento dell’Industria 4.0, incorporando macchinari e componenti connessi tra loro e cambiandone totalmente la natura. Chi si occupava di progettarli si è trovato a doversi assicurare che fossero efficienti, solide e convenienti, lasciando spesso la sicurezza in secondo piano. Questo ha creato uno scenario molto vulnerabile che solo una conversione alla security by design può risanare con l’introduzione sul mercato di macchinari progettati per essere sicuri e conformi alle certificazioni “da subito”.

Come la security by design abilita la flessibilità del cloud

Sono moltissime le aziende che hanno guardato al cloud durante il lockdown per garantire la business continuity dando vita in tutta fretta a infrastrutture sempre più articolate, funzionali senza dubbio, ma anche più difficili da proteggere adeguatamente da attacchi cyber sofisticati e intelligenti. In uno scenario di multi-cloud o di hybrid cloud con workforce distribuita che ha sgretolato i perimetri delle organizzazioni, il controllo dei dati, la compliance e la sicurezza sono oggi sfide complesse e “rincorrere” le vulnerabilità applicando patch in tempo reale è diventato meno efficace dell’avere un sistema già progettato per essere sicuro.

Adottando la “security by design”, implementando quindi strutture e servizi che soddisfino le nuove necessità di cybersecurity, le organizzazioni estendono le loro capacità difensive per la governance in tempo reale, il rischio e il reporting di conformità rendendole più efficienti e complete. Con questo approccio è infatti possibile creare funzionalità che non possono essere annullate dagli utenti non autorizzati a modificarle, eseguire operazioni di controllo affidabili e realizzare audit continuo e in tempo reale arrivando finalmente a formalizzare e implementare tutto ciò che un tempo restava solo scritto in policy, standard e normative e automatizzando i meccanismi di sicurezza in modo che non pesino sulle performance di business. Il passaggio completo al cloud, a cui alcune aziende mirano ma che poche hanno messo già in atto, permette inoltre di sfruttarne tutto il potenziale anche dal punto di vista della sicurezza riscrivendo ad esempio le applicazioni sia nella logica di App cloud native che di security by design.

La potenza della security by design nel cloud grazie al modello “Zero Trust” di VMware

VMware, per mitigare concretamente il rischio di violazioni, ha reso la sicurezza una proprietà intrinseca delle applicazioni estesa a tutti gli utenti e i dati in modo coerente attraverso ogni luogo e ogni dispositivo, ben consapevole di operare in un contesto fluido e in continua evoluzione dove i perimetri aziendali hanno perso forma e significato. Non più solo data center ma anche cloud privato o pubblico in strategie multi cloud o hybrid cloud, non più solo desktop aziendali ma anche device mobili, laptop gestiti dagli utenti e perfino device IoT, e anche applicazioni moderne che poco hanno a che fare con quelle legacy di qualche anno fa.

Per continuare a garantire sicurezza ma anche riservatezza, integrità e disponibilità per tutte le interazioni tra utenti e applicazioni/dati la strada scelta è caduta sul modello “Zero Trust” realizzato attraverso un approccio software-defined delle infrastrutture. Portare questo tipo di evoluzione sul mercato significa proporre concreti benefici a chi sceglie di proteggersi in modo innovativo e lungimirante quali ad esempio l’ottimizzazione della sicurezza tramite l’impiego della virtualizzazione, la segmentazione della rete per distribuire la protezione di ciascun servizio associandola al perimetro del servizio stesso, e un maggiore livello di visibilità e controllo delle operazioni legate ai singoli workload.

Combinando la virtualizzazione della rete e la micro-segmentazione si ottiene un evidente miglioramento anche per il business in termini di agilità e velocità e anche di sicurezza. Le reti virtuali, potendo essere configurate on-demand, consentono infatti di inserire nuovi servizi dinamicamente e tra i nuovi servizi possono esserci anche quelli di sicurezza. La security by design in un ambiente cloud permette quindi anche di gestire il controllo degli accessi e dei privilegi in modo più fluido godendo di un livello di sicurezza adeguato all’attuale contesto e di una pronta reattività in caso di attacco.

@RIPRODUZIONE RISERVATA

Articolo 1 di 5