Cinquantamila.it La storia raccontata da Giorgio Dell'Arti

Aziende e professionisti iniziano a rendersene conto: il futuro del business è nella nuvola, che consente di liberarsi di hardware e strutture IT interne – e quindi di costi di manutenzione e aggiornamento - affidando la gestione dei propri dati a un provider esterno e accedendovi in modalità web.

Ma il cloud computing genera ancora oggi forti dubbi dal punto di vista della sicurezza, soprattutto per quelle aziende che, avendo a che fare con informazioni sensibili come per esempio le banche o le società attive nel settore della sanità, sono scettiche all’idea di affidare i propri dati alla «nuvola» temendo di poterne perdere il controllo. Come fare dunque ad accertarsi che il provider non perda informazioni preziose o le modifichi in qualche modo? «Il cloud consiste essenzialmente in una serie di applicazioni che leggono i nostri dati, i quali si trovano da qualche parte nel mondo in qualche server che li custodisce», ha spiegato a Circuits Rodolfo Falcone, country manager per l’Italia della società di sicurezza Internet Check Point Software Technologies, «per questo un problema in termini di sicurezza effettivamente si pone: è infatti bene per una società essere cosciente che i propri dati sono affidati a una terza parte e dunque assicurarsi che questa, ovvero il provider prescelto per la gestione del proprio sistema IT in cloud, sia in grado di offrire soluzioni adeguate e affidabili». Ma c’è anche chi sceglie di diversificare la gestione dei dati, sensibili o meno. Crif, società specializzata nei sistemi di informazioni creditizie, di business information e di supporto decisionale, è tra queste: «Utilizziamo il cloud pubblico solo per la gestione di applicazioni non critiche, che non contengono dati sensibili; per questi tipi di servizi ci rivolgiamo a un fornitore esterno che gestisce per noi alcune applicazioni», ha spiegato Carlo Romagnoli, responsabile per le distributed IT operations di Crif, «anche se i dati in questo caso non necessitano di particolari trattamenti richiediamo al nostro fornitore di accettare una clausola di non-disclosure come ulteriore garanzia». Per i dati più critici invece, continua Romagnoli, «abbiamo attivato un sistema di cloud privato nel quale mettiamo a disposizione delle nostre unità organizzative, all’interno dei nostri data center, un pool di risorse a cui attingere man mano che se ne ha la necessità, ottenendo tutti i vantaggi di flessibilità e affidabilità tipici del cloud senza che i dati fisicamente escano dall’azienda. Ritengo sia questa la strada più percorribile per chi si occupa di dati sensibili come noi, perché permette di mantenere il controllo dei dati senza rinunciare ai vantaggi tipici del cloud». Inoltre, come ha ricordato Falcone, la sicurezza va personalizzata anche in funzione dell’area specifica di business in cui opera l’azienda: una banca online ha esigenze molto precise in termini di affidabilità del servizio, dal momento che anche pochi minuti di blackout possono generare danni significativi, mentre una banca tradizionale ha requisiti diversi. Ma la sicurezza della nuvola non dipende esclusivamente dal provider, ha aggiunto il country manager per l’Italia di Check Point: «È importante proteggere i dati lungo tutto il percorso, dal computer dal quale accediamo alle informazioni fino al server che le custodisce. Per esempio una rete Vpn (Virtual private network) consente una comunicazione protetta con il server. Inoltre è bene assicurarsi che il proprio pc non sia contaminato da virus, che rischierebbero di infettare i dati al momento dell’accesso». Nell’ottica della sicurezza sul cloud insomma, la consapevolezza è fondamentale: «Check Point offre anche formazione culturale per i dipendenti delle aziende», ha aggiunto Falcone, «in linea con la nostra visione che combina tre dimensioni: policy, people & enforcing». Per mantenere un adeguato livello di sicurezza, ha spiegato il manager, il primo passo è definire una policy chiara e condivisa da tutti i dipendenti, che stabilisca ciò che è consentito e cosa non lo è nell’utilizzo dei sistemi IT aziendali. In seconda battuta, ha continuato Falcone, dal momento che le organizzazioni sono fatte di persone non va dimenticato che spesso l’anello debole dei processi di sicurezza sono proprio gli utenti dei sistemi IT, che con un errore umano rischiano di provocare fughe di dati o di infettare il pc con malware o virus. Per questo, ribadisce il manager, «i dipendenti vanno educati sulla policy di sicurezza aziendale e sul comportamento che ci si aspetta da loro quando navigano su internet o condividono dati sensibili». Infine il terzo punto, enforcement, fa riferimento all’importanza di implementare strutture consolidate e sistemi di sicurezza integrati, in modo da poter prevenire i problemi invece che limitarsi a risolverli una volta che si sono verificati.

DIANA MORTARINI