3 grandi spunti dal rapporto Snyk State of Cloud Security 2022

Il cloud computing ha creato un cambiamento più grande nel settore IT negli ultimi 20 anni rispetto a qualsiasi altro fattore. Con la tecnologia cloud, le aziende possono creare, distribuire e ridimensionare le proprie applicazioni più velocemente che mai. Tuttavia, i clienti cloud hanno subito una vasta gamma di eventi di sicurezza nell’ultimo anno, con violazioni dei dati, fughe di dati e intrusioni nei loro ambienti tra i più gravi.

Snyk ha recentemente intervistato più di 400 professionisti e leader di ingegneria e sicurezza del cloud in vari tipi di organizzazioni e settori. Creato in collaborazione con Propeller Insights, i risultati sono riassunti nel rapporto Snyk State of Cloud Security 2022. Il rapporto approfondisce i rischi e le sfide che devono affrontare e dove stanno affrontando con successo tali rischi.

Secondo il rapporto State of Cloud Security 2022, l’80% delle organizzazioni ha subito un grave incidente nell’ultimo anno e il 33% ha subito una violazione dei dati nel cloud.Il passaggio agli sviluppatori che creano ed eseguono app nativamente nel cloud sta cambiando la sicurezza del cloud, secondo alle intuizioni. Nel rapporto risultante, i ricercatori sulla sicurezza del cloud di Snyk hanno combinato l’analisi dei dati del sondaggio con le osservazioni della propria esperienza. Ecco i tre grandi takeaway.

I casi applicativi nativi del cloud comportano nuove sfide e opportunità per la sicurezza

Il caso d’uso del cloud predominante è stato quello di piattaforma per l’hosting di applicazioni di terze parti o di applicazioni migrate dai loro data center. Un quarto degli intervistati di Snyk ha indicato che l’uso principale per gli ambienti cloud è lo sviluppo e l’esecuzione di applicazioni nativamente nel cloud.

I team che utilizzano il cloud come piattaforma hanno prodotto una serie di innovazioni, tra cui Infrastructure as Code (IaC), il processo di codifica utilizzato dagli sviluppatori per creare e gestire l’infrastruttura cloud insieme alle loro applicazioni.

Inoltre, gli sviluppatori che sfruttano il cloud stanno facendo sempre più uso di approcci nativi del cloud, come container e architetture “funzioni come servizio” serverless.

Questi cambiamenti hanno implicazioni per la sicurezza. Il 41% dei team che adottano approcci cloud native ha confermato che ciò ha aumentato la complessità della propria sicurezza. Gli approcci cloud native richiedono inoltre che i team aggiungano ulteriori competenze in materia di sicurezza e introducano formazione aggiuntiva sulla sicurezza. Il cloud nativo richiede anche l’adozione di nuovi strumenti e metodologie di sicurezza, come l’approccio “Shift Left”.

Ma mentre la creazione e l’esecuzione di applicazioni nel cloud comporta nuove sfide per la sicurezza, i team che utilizzano questo approccio stanno riscontrando meno incidenti gravi di sicurezza. I prossimi due grandi suggerimenti del rapporto aiutano a spiegare perché.

Gli sviluppatori stanno assumendo la proprietà della sicurezza del cloud

Chi possiede la sicurezza cloud? A seconda di chi chiedi, è probabile che tu riceva una risposta diversa. Sebbene l’IT possieda la sicurezza del cloud in circa la metà di tutte le organizzazioni, il 42% degli ingegneri del cloud afferma che il proprio team è il principale responsabile della sicurezza del cloud. Tuttavia, solo il 19% dei professionisti della sicurezza concorda sul fatto che i team di ingegneri stiano facendo questo lavoro.

Ciò può essere spiegato dal fatto che gli ingegneri del cloud stanno investendo molto tempo e sforzi in attività di sicurezza del cloud e spesso sono alla ricerca di modi per automatizzare e semplificare questi processi. L’adozione dell’infrastruttura come codice per la distribuzione e la gestione degli ambienti cloud offre agli ingegneri l’opportunità di trovare e risolvere i problemi in fase di sviluppo piuttosto che dopo la distribuzione, quando i rimedi richiedono più tempo e risorse.

Gli sviluppatori controllano l’infrastruttura di cloud computing stessa perché il cloud è completamente definito dal software. Quando creano applicazioni nel cloud, creano anche l’infrastruttura per le applicazioni invece di acquistare una pila di infrastrutture e aggiungere app. Questo è un processo di codifica che utilizza Infrastructure as Code (IaC) e gli sviluppatori possiedono quel processo.

L’infrastruttura come sicurezza del codice offre un grande ROI

La sicurezza IaC è una grande vittoria, non solo per ridurre il tasso di errori di configurazione, ma anche per migliorare la produttività del team di ingegneri e la velocità delle implementazioni. I processi di sicurezza cloud inefficienti diventano spesso il fattore limitante della velocità con cui i team possono andare nel cloud e la sicurezza IaC offre miglioramenti significativi in ​​termini di velocità e produttività.

La riduzione mediana del tasso di configurazione errata negli ambienti cloud in esecuzione risultante dalla pre-distribuzione della sicurezza IaC è del 70%. Sebbene la sicurezza IaC non sia in grado di prevenire tutte le configurazioni errate di runtime, un calo del 70% è significativo e può ridurre sostanzialmente il rischio per le organizzazioni.

Tale diminuzione del numero di configurazioni errate ha anche un impatto diretto sulla produttività dell’ingegneria del cloud. Poiché questi team possono ridurre la quantità di tempo che devono investire nella gestione e nella risoluzione dei problemi, possono dedicare più tempo alla creazione e all’aggiunta di valore per l’organizzazione.

Cosa stanno facendo i team di sicurezza cloud efficaci

Una netta maggioranza dei professionisti della sicurezza e dell’ingegneria del cloud ritiene che il rischio di una violazione dei dati nel cloud all’interno della propria organizzazione aumenterà nel corso del prossimo anno, con solo il 20% che prevede una diminuzione dei rischi.

Un’efficace sicurezza del cloud richiede la prevenzione di configurazioni errate e vulnerabilità della progettazione architettonica che rendono possibili gli attacchi al cloud. Il successo richiede concentrarsi su queste cinque aree fondamentali:

  1. Conosci il tuo ambiente. Mantieni la consapevolezza dello stato di configurazione del tuo ambiente cloud nel contesto completo con le applicazioni che esegue e l’SDLC utilizzato per svilupparlo, distribuirlo e gestirlo.
  • Concentrati sulla prevenzione e sulla progettazione sicura. Previeni le condizioni che rendono possibili le violazioni del cloud, inclusi errori di configurazione delle risorse e difetti di progettazione dell’architettura. Non puoi fare affidamento sulla capacità di rilevare e prevenire gli attacchi in corso.
  • Consenti agli sviluppatori cloud di creare e operare in sicurezza. Quando gli ingegneri sviluppano un’infrastruttura sicura sotto forma di codice, possono evitare dispendiosi rimedi e rielaborarli in un secondo momento, fornendo al contempo un’infrastruttura sicura più velocemente.
  • Allinea e automatizza con politica come codice (PaC): Se le tue politiche di sicurezza sono espresse solo in linguaggio umano, potrebbero anche non esistere affatto. Con PaC, puoi esprimere le politiche in un linguaggio che altri programmi possono utilizzare per convalidare la correttezza e allineerai tutte le parti interessate per operare sotto un’unica fonte di fiducia sulle politiche di sicurezza.
  • Misura ciò che conta: identificare ciò che conta di più, che si tratti di ridurre il tasso di errori di configurazione, accelerare i processi di approvazione o migliorare la produttività del team. I team di sicurezza dovrebbero stabilire le basi di sicurezza, fissare obiettivi, misurare i progressi ed essere pronti a dimostrare la sicurezza del proprio ambiente cloud in qualsiasi momento.

Seguendo questi cinque passaggi, i team di sicurezza e tecnici possono collaborare per rendere operativa la sicurezza del cloud, riducendo i rischi, accelerando l’innovazione e migliorando la produttività del team.

Leave a Comment

Your email address will not be published. Required fields are marked *