Cloud e gestione dati: come garantirne la sicurezza

Fino a pochi anni fa, mettere in sicurezza i dati aziendali significava presidiare un perimetro: server in sala CED, backup su nastro, firewall sul confine della rete. Oggi quel perimetro non esiste più. Gestionali, posta, CRM, file condivisi, ambienti di sviluppo: la maggior parte dei dati aziendali vive in infrastrutture cloud di terze parti, spesso distribuite su più provider contemporaneamente.

Questo spostamento ha portato vantaggi concreti in termini di costi, scalabilità e continuità operativa, ma ha anche cambiato radicalmente la natura del rischio.
La domanda non è più se portare i dati in cloud, perché ci sono già: la domanda è chi risponde della loro sicurezza, quali sono le minacce concrete e quali misure servono davvero per proteggerli.

In questo articolo analizziamo come vengono gestiti i dati negli ambienti cloud, quali sono i rischi reali per le aziende e quali controlli tecnici e organizzativi permettono di garantirne riservatezza, integrità e disponibilità.

1. Il modello di responsabilità condivisa
2. I rischi reali per i dati nel cloud
3. Come proteggere i dati nel cloud: le misure che contano
4. GDPR e NIS2: cosa impone la normativa

Il modello di responsabilità condivisa

L’equivoco più pericoloso in materia di sicurezza cloud è pensare che, affidando i dati a un provider, si trasferisca anche la responsabilità di proteggerli. Non è così. Tutti i grandi fornitori — AWS, Microsoft Azure, Google Cloud — operano secondo il modello di responsabilità condivisa: il provider garantisce la sicurezza del cloud, il cliente resta responsabile della sicurezza nel cloud.

In pratica, il fornitore protegge l’infrastruttura fisica, l’hypervisor, la rete e i servizi di piattaforma. Tutto ciò che sta sopra rimane in carico alla vostra azienda: la configurazione dei servizi, la gestione delle identità e dei permessi, la classificazione e la cifratura dei dati, il controllo di chi accede a cosa. Il confine esatto varia a seconda del modello di servizio: in un ambiente IaaS il cliente gestisce anche sistemi operativi e applicazioni, in un SaaS la responsabilità si concentra quasi interamente su dati, utenze e configurazioni.

Questa distinzione non è teoria: la stragrande maggioranza degli incidenti che coinvolgono dati in cloud non deriva da una compromissione del provider, ma da errori commessi lato cliente. Bucket di storage lasciati pubblici, credenziali amministrative prive di autenticazione a più fattori, permessi assegnati e mai revocati. Il cloud non è insicuro di per sé: è insicuro quando viene configurato e governato male.

I rischi reali per i dati nel cloud

Il primo rischio, e il più sottovalutato, sono le misconfigurazioni. Un database esposto su Internet senza autenticazione, uno storage accessibile a chiunque conosca l’URL, una porta di amministrazione raggiungibile pubblicamente: sono vulnerabilità banali, ma restano la prima causa di violazione dei dati negli ambienti cloud. La velocità con cui oggi si creano risorse — pochi clic o poche righe di codice — moltiplica le occasioni di sbagliare, e gli attaccanti scandagliano costantemente la rete alla ricerca proprio di queste esposizioni.

Il secondo fronte critico è quello delle identità e dei privilegi. Nel cloud, l’identità è il nuovo perimetro: una singola credenziale amministrativa compromessa può dare accesso all’intero patrimonio informativo aziendale. Account di servizio con permessi eccessivi, utenze di ex dipendenti mai disattivate, chiavi API dimenticate nel codice sorgente, password già in vendita sul dark web: ognuno di questi elementi è una porta d’ingresso. Non a caso, le campagne di phishing mirato verso amministratori IT e i furti di credenziali sono oggi il vettore d’attacco preferito contro le infrastrutture cloud.

C’è poi il fenomeno dello shadow IT: servizi SaaS attivati autonomamente dai reparti aziendali, al di fuori del controllo dell’IT. Ogni applicazione non censita è un luogo dove i dati aziendali finiscono senza policy, senza backup e senza controllo degli accessi. A questo si aggiungono i rischi legati alle API esposte — le interfacce che collegano applicazioni e servizi, sempre più spesso bersaglio di raccolta massiva di dati e per questo oggetto di verifiche dedicate come il Web Application Penetration Testing — e quelli di filiera: la compromissione di un fornitore SaaS si riflette a cascata su tutti i suoi clienti.

Infine, la disponibilità: interruzioni di servizio del provider, cancellazioni accidentali, attacchi ransomware che cifrano anche le copie sincronizzate in cloud. Chi assume che “è in cloud, quindi è al sicuro” scopre spesso troppo tardi che la sincronizzazione non è un backup.

Come proteggere i dati nel cloud: le misure che contano

La protezione dei dati in cloud non si risolve con un singolo prodotto, ma con un insieme coordinato di controlli. Il punto di partenza è la gestione delle identità e degli accessi (IAM): ogni utente e ogni servizio deve disporre solo dei permessi strettamente necessari al proprio compito — il principio del privilegio minimo — e ogni accesso privilegiato va protetto con autenticazione a più fattori, preferibilmente tramite app o token hardware. Le utenze vanno riviste periodicamente: i permessi si accumulano nel tempo, quasi mai si riducono da soli.

Il secondo pilastro è la crittografia, applicata su due piani: dati in transito, per proteggere le comunicazioni tra utenti, applicazioni e cloud, e dati a riposo, per rendere illeggibili le informazioni archiviate anche in caso di accesso non autorizzato. Attenzione però: cifrare non basta se le chiavi non sono governate. La gestione delle chiavi crittografiche — chi le custodisce, come ruotano, dove risiedono — è parte integrante della protezione, soprattutto per i dati soggetti a vincoli normativi.

Sul piano della resilienza servono backup realmente separati dall’ambiente di produzione: copie immutabili o offline, testate periodicamente con prove di ripristino, secondo la regola per cui almeno una copia deve sopravvivere anche alla compromissione totale dell’ambiente principale. A completare il quadro servono tre capacità operative:

• Visibilità e monitoraggio. Log centralizzati delle attività su dati e configurazioni, con rilevazione delle anomalie affidata a piattaforme SIEM: un accesso anomalo notato in tempo reale è un incidente evitato, lo stesso accesso scoperto dopo sei mesi è un data breach.
• Prevenzione della perdita di dati. Le soluzioni di Data Loss Prevention classificano le informazioni e bloccano trasferimenti e condivisioni non conformi alle policy, arginando tanto l’esfiltrazione malevola quanto l’errore umano.
• Verifica continua. Le configurazioni cloud cambiano ogni giorno: controlli periodici delle esposizioni, vulnerability assessment ricorrenti e, per gli ambienti più critici, penetration test che simulano un attacco reale contro l’infrastruttura.

Ultima misura, spesso decisiva: le persone. Gran parte delle compromissioni cloud inizia con una credenziale ceduta a un phishing ben costruito, e nessun controllo tecnico sostituisce un personale formato a riconoscere le minacce.

GDPR e NIS2: cosa impone la normativa

Portare i dati in cloud non trasferisce le responsabilità legali. Per il GDPR, l’azienda resta titolare del trattamento anche quando i dati risiedono presso un provider, che agisce come responsabile: questo impone di verificare dove i dati vengono fisicamente conservati, se avvengono trasferimenti extra-UE e con quali garanzie, e di formalizzare il tutto negli accordi di trattamento. In caso di violazione, l’obbligo di notifica entro 72 ore ricade su di voi, non sul provider.

La direttiva NIS2 alza ulteriormente l’asticella per i soggetti essenziali e importanti: gestione del rischio documentata, sicurezza della supply chain — quindi anche dei fornitori cloud — continuità operativa e obblighi di segnalazione degli incidenti, con responsabilità dirette in capo agli organi di amministrazione. Per molte aziende del mid-market italiano, la conformità cloud non è più una scelta di diligenza ma un requisito normativo, oltre che una garanzia sempre più richiesta dai clienti enterprise in fase di qualifica dei fornitori.

In conclusione

Il cloud ha reso la gestione dei dati più flessibile ed efficiente, ma non ha eliminato il rischio: lo ha spostato. Dalla protezione del perimetro fisico si è passati al governo di identità, configurazioni e fornitori, in un modello dove la responsabilità finale resta sempre dell’azienda. Le misure esistono e sono mature — IAM, crittografia, backup separati, monitoraggio, verifiche periodiche — ma funzionano solo se applicate con metodo e ricontrollate nel tempo, perché un ambiente cloud sicuro oggi può non esserlo più domani.