Il 2017 è stato un anno difficile per CIO e CISO e il 2018 non mostra segni di miglioramento. Con numerose violazioni dei dati nel 2017 e requisiti normativi sempre più rigidi applicati in tutto il mondo, CIO e CISO hanno la responsabilità di ridefinire l’approccio alla sicurezza dei dati. Indipendentemente dalla compliance e dai regolamenti, le aziende hanno il dovere di proteggere i dati dei propri clienti e ridurre la loro esposizione, non solo ad attacchi esterni, ma anche da parte dei dipendenti.
Il metodo di violazione più utilizzato nel 2017 è stato il phishing, con messaggi inviati ai dipendenti diventati così complici involontari. Oltre l’80% dei cyberattacchi riusciti è stato causato da azioni umane. Professionisti non IT che, ricevendo una email da un amico già compromesso, hanno aperto un allegato; impiegati che hanno visitato un sito già colpito, creando una falla nel perimetro di sicurezza. Se non esiste una protezione al 100%, bisogna adottare il buon senso per diminuire i rischi.
Se un’azienda considera i propri dati come fonte di vantaggio competitivo ed è consapevole della loro importanza per i propri clienti, come può ridurre la superficie di attacco? La legge di Conway (“le organizzazioni che progettano sistemi … sono indotte a generare design che sono copie dei legami nelle organizzazioni stesse”) ci insegna che la struttura organizzativa influisce sui risultati più di ogni altro elemento. Nella sicurezza questo concetto è abbastanza semplice: se il CISO e lo storage manager hanno un buon rapporto, i dati saranno crittografati a livello di storage, e la casella “crittografia” verrà controllata.
Agire sullo storage è anche l’azione più semplice in quanto gli array storage possono abilitare la crittografia in modo istantaneo senza penalizzare le performance. Tuttavia, la cifratura a livello di storage riduce davvero la superficie di attacco? Un po’ sì. Anche se lascia tutti gli altri strati – tra utenti, applicazioni e infrastrutture – non crittografati e con i dati che attraversano la rete senza alcuna protezione. La maggior parte degli Storage All Flash (AFA) offre una cifratura a livello di disco ed è l’unico livello consentito. Se i dati sono crittografati a qualsiasi altro livello, il fattore di “data reduction factor” degli AFA non porta nessun beneficio facendone decadere la competitività economica degli stessi.
Alcuni compromessi sono spesso necessari per accelerare l’adozione della protezione dei dati. Molti scelgono di crittografare questi ambienti ai livelli più bassi dello stack (DB/VM/OS) per essere conformi ai requisiti aziendali e normativi. Questi approcci alternativi hanno però lo stesso effetto: rendere inutili il fattore di “data reduction” degli AFA e aumentare il loro costo totale complessivo. Infinidat ha un approccio differente dove l’importanza dei dati del cliente sono anteposti a logiche commerciali e la crittografia globale di tutti i dati presenti nel box permette al cliente un massimo livello di sicurezza, senza nessun degrado di performance.
