Abbiamo migrato i dati sul cloud: cosa resta da fare a noi per la sicurezza del cloud?

Nel modello di responsabilità condivisa la linea è chiarissima: la sicurezza DEL cloud spetta al provider, la sicurezza NEL cloud spetta a voi. Controllate subito i security group: non aprite mai le porte 22 (SSH) e 3389 (RDP) a tutti gli indirizzi IP (0.0.0.0/0). Autorizzate solo l'IP statico dell'ufficio aziendale e bloccate l'accesso al pannello di gestione se non si è sotto VPN.

Due mesi dopo la nostra migrazione, l'email aziendale di un nostro dipendente è stata bucata con un attacco di phishing. Non essendoci l'autenticazione a due fattori, l'hacker è entrato nel pannello di gestione del cloud e ha cancellato il backup del database. Il provider, giustamente, ha detto: "L'accesso è avvenuto con username e password validi". Abbiamo dovuto pagare 80 mila TL di riscatto.

L'idea del vostro CdA di voler tagliare il budget per la sicurezza è la premessa per un disastro totale. È come prendere in affitto un appartamento in un residence di lusso con porta blindata e poi lasciarla spalancata giorno e notte. Se lasci aperta la porta, quando entrano i ladri non puoi mica prendertela con la vigilanza del palazzo.

Domani mattina avete due cose da fare all'istante: 1) Entrate nella console di gestione e imponete a tutti gli utenti l'autenticazione a due fattori via app invece degli SMS. 2) Eliminate tutte le utenze di test inutilizzate e le vecchie chiavi API dei consulenti.

I cloud provider proteggono l'integrità dei dati contro i guasti hardware, ma se un interno cancella la tabella clienti, per sbaglio o apposta, loro lo considerano un comando legittimo, non un attacco informatico. Per questo, anche dentro al cloud, è indispensabile una policy di backup immutabile e conservata su un account separato.

controllate assolutamente i bucket di storage, è lì che le aziende fanno i casini peggiori. per fare i test li lasciano aperti come pubblici e poi tutti i dati dei clienti finiscono indicizzati su google.

Se gestite vendita all'ingrosso e una rete di rivenditori, la vostra qualifica di titolare del trattamento ai sensi del KVKK resta assolutamente invariata. Avere i dati salvati su cloud non vi esenta dalle responsabilità legali. Siete tenuti a garantire che i log di accesso siano conservati con marcatura temporale e in modo non modificabile per almeno due anni a ritroso.

Ha ragione.

Raro trovare articoli che spiegano le cose così chiaramente.

Vorrei fare una domanda. Cercare di farlo da soli è la strada più costosa.

Spero che le sia utile.

ottimo lavoro... quando prendete una decisione scrivete anche lo scenario peggiore, non solo quello migliore.

io segurei questa strada.

C'è un punto che mi incuriosisce. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Confermato dall'esperienza.

Ho vissuto la stessa cosa.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Se avete domande, scrivete, rispondo per quanto possibile.

Corretto. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Questa è la mia opinione, non la scrivo come verità assoluta.

Questo approccio ha un costo, di cui non si parla. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Se avete domande, scrivete, rispondo per quanto possibile.

Sono d'accordo. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

La maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata. cioè correggetemi se sbaglio.

Ottimo lavoro. Se ricevete tre risposte diverse su un argomento la domanda è posta male.