Descrivere il modello di responsabilità condivisa

Nelle organizzazioni che eseguono solo hardware e software in sede, l'organizzazione è responsabile dell'intero stack tecnologico: l'edificio, i server fisici, la rete, i sistemi operativi, le applicazioni e i dati. Quando si passa ai servizi cloud, alcune di queste responsabilità passano al provider di servizi cloud. Il modello di responsabilità condivisa consente di comprendere esattamente chi è responsabile delle parti della sicurezza, in modo da poter pianificare di conseguenza la strategia di sicurezza.

Responsabilità condivisa nel cloud

In un ambiente locale tradizionale, l'organizzazione controlla ogni livello dello stack di tecnologie. Il tuo team è responsabile della sicurezza fisica dell'edificio, della manutenzione e dell'applicazione di patch all'hardware, della configurazione dei dispositivi di rete, della protezione dei sistemi operativi, della distribuzione e dell'aggiornamento delle applicazioni, della protezione delle identità e dell'accesso e della salvaguardia dei dati. Questa proprietà completa significa controllo completo, ma comporta anche l'intero carico di lavoro per la sicurezza del team.

Il cloud computing modifica questo modello. Quando si usano i servizi cloud, alcune delle responsabilità di sicurezza quotidiane vengono trasferite al provider di servizi cloud. La suddivisione esatta dipende dal modello di servizio cloud in uso:

• Locale: l'organizzazione gestisce e protegge l'intero stack, dalla compilazione fisica e dall'hardware al sistema operativo, alle applicazioni e ai dati.
• Infrastruttura distribuita come servizio (IaaS): il provider di servizi cloud protegge il data center fisico, l'hardware di rete e i computer host. L'utente è responsabile dei sistemi operativi, delle applicazioni, dei controlli di rete configurati e dei dati.
• Platform as a Service (PaaS): il provider di servizi cloud assume anche la responsabilità del sistema operativo e dell'ambiente di runtime. Si è responsabili del codice dell'applicazione, della relativa configurazione, dei controlli di accesso e dei dati.
• Software as a Service (SaaS): il provider di servizi cloud gestisce l'intero stack di applicazioni e l'infrastruttura sottostante. L'utente è responsabile della gestione degli accessi, controllando chi usa il servizio, i dati e il modo in cui si configurano le impostazioni a livello di tenant.

Quando si passa da locale a IaaS a PaaS a SaaS, il provider di servizi cloud assume più delle responsabilità di sicurezza sottostanti. Tuttavia, il passaggio al cloud non significa che la sicurezza diventi interamente un problema di qualcun altro. Alcune responsabilità rimangono sempre con l'utente, indipendentemente dal modello di servizio usato.

Il diagramma seguente illustra la tipica divisione della responsabilità tra il cliente e il provider di servizi cloud.

Responsabilità che si mantengono sempre

Indipendentemente dal modello di servizio cloud usato, le responsabilità seguenti rimangono sempre con l'utente:

• Dati: si è responsabili dei dati, inclusa la classificazione della riservatezza, la scelta di come proteggerli, prendere decisioni di crittografia e garantire la conformità ai requisiti di governance dei dati. Il provider di servizi cloud protegge l'infrastruttura che archivia i dati, ma si decide quali dati raccogliere, chi può accedervi, per quanto tempo conservarli e come proteggerli.

• Identità e accesso: la gestione di account utente, metodi di autenticazione e autorizzazioni di accesso è sempre responsabilità dell'utente. Un'identità compromessa può concedere a un utente malintenzionato l'accesso alle risorse cloud anche quando tutto il resto è bloccato. L'implementazione di procedure di identità complesse, ad esempio la richiesta di autenticazione a più fattori (MFA) e l'applicazione dell'accesso con privilegi minimi, è uno degli obblighi di sicurezza più importanti.

• Endpoint: I dispositivi che si connettono ai tuoi servizi cloud, ovvero portatili, tablet, telefoni e desktop, sono responsabilità tua da proteggere. Un utente malintenzionato che compromette un endpoint può usarlo per accedere ai servizi cloud come utente legittimo del dispositivo. La protezione degli endpoint tramite la gestione dei dispositivi, gli aggiornamenti della sicurezza e il rilevamento delle minacce fanno parte della responsabilità condivisa.

• Opzioni di configurazione: le impostazioni e le configurazioni di sicurezza all'interno del tenant cloud, ovvero la configurazione di servizi, autorizzazioni delle risorse e criteri di rete, sono responsabilità dell'utente. Un account di archiviazione configurato in modo errato o un criterio di accesso eccessivamente permissivo può esporre i dati anche quando la piattaforma sottostante è protetta correttamente.

Vantaggi della sicurezza cloud

L'uso dei servizi cloud non trasferisce solo alcune responsabilità, ma offre anche l'accesso alle funzionalità di sicurezza che la maggior parte delle singole organizzazioni non può creare o sostenere autonomamente.

Provider di servizi cloud come Microsoft investono continuamente in sicurezza fisica, affidabilità hardware, certificazioni di conformità, intelligence sulle minacce e monitoraggio della sicurezza su larga scala. Quando si usano i servizi di infrastruttura cloud, si usufruiscono automaticamente di tali investimenti nelle aree a cui il provider è responsabile. Ciò consente al team di focalizzare le risorse di sicurezza sulle responsabilità che mantenete: i vostri dati, le vostre identità e le vostre configurazioni.

Negli ambienti in sede, spesso i gap di sicurezza si sviluppano perché i team sono sovraccarichi. Le patch sono ritardate, l'hardware invecchia oltre la finestra di supporto del fornitore e non tutti i sistemi hanno a disposizione strumenti di monitoraggio. Quando si passa al cloud, il provider gestisce l'applicazione di patch dell'infrastruttura e la sicurezza fisica per la relativa parte dello stack. Questo cambiamento non comporta la rimozione degli obblighi di sicurezza, ma consente di concentrarsi sulle competenze in cui ha il maggior impatto.

Modello di responsabilità condivisa di intelligenza artificiale

Man mano che le organizzazioni adottano soluzioni basate sull'intelligenza artificiale, il modello di responsabilità condivisa si estende per coprire i carichi di lavoro di intelligenza artificiale. I sistemi di intelligenza artificiale introducono considerazioni univoche: possono essere influenzati dai dati e dalle istruzioni fornite dagli utenti e generano output che possono guidare decisioni importanti. Queste caratteristiche creano responsabilità di sicurezza e supervisione che vanno oltre i servizi cloud tradizionali.

Un'applicazione abilitata per l'intelligenza artificiale può essere considerata in tre livelli:

• Piattaforma di intelligenza artificiale: l'infrastruttura sottostante, il modello di intelligenza artificiale e i controlli di sicurezza a livello di piattaforma, inclusi i filtri dei contenuti predefiniti, i sistemi di sicurezza o i controlli di accesso forniti dal servizio.
• Applicazione di intelligenza artificiale: l'applicazione che si compila o distribuisce che si connette alla piattaforma di intelligenza artificiale, tra cui come viene configurata l'app, quali origini dati o connettori usa e quali plug-in abilita.
• Utilizzo dell'intelligenza artificiale: come gli utenti dell'organizzazione usano il sistema di intelligenza artificiale, inclusi gli input forniti, i criteri di utilizzo accettabili impostati e la supervisione che hai messo in atto.

Che cosa gestisce in genere il provider (IA)

A seconda che la funzionalità di intelligenza artificiale venga distribuita come servizio SaaS (ad esempio, Microsoft 365 Copilot) o un servizio PaaS (ad esempio, Azure AI Foundry), il provider gestisce in genere:

• Protezione dell'infrastruttura fisica e dell'ambiente di hosting del modello di intelligenza artificiale
• Fornire controlli di sicurezza a livello di piattaforma, ad esempio il filtro del contenuto e le misure di sicurezza predefinite, a seconda del livello di servizio
• Gestione dell'infrastruttura di calcolo sottostante e della sicurezza operativa del servizio di intelligenza artificiale

Cosa si gestisce in genere (intelligenza artificiale)

Anche quando il provider protegge la piattaforma di intelligenza artificiale, si è responsabili del modo in cui viene usata l'intelligenza artificiale in tutta l'organizzazione:

• Protezione dei dati: è possibile controllare i dati sensibili condivisi o consentire al sistema di intelligenza artificiale di accedere. Se un sistema di intelligenza artificiale si connette ai dati critici per l'azienda, è necessario configurare i controlli di accesso e i criteri di governance dei dati appropriati.
• Gestione delle identità e degli accessi: si determina chi nell'organizzazione può accedere alle applicazioni di intelligenza artificiale e a cosa sono autorizzati a eseguire.
• Configurazione sicura: si è responsabili della configurazione appropriata della soluzione di intelligenza artificiale, limitando gli utenti che hanno accesso, quali connettori esterni o origini dati sono abilitati, come vengono registrati gli output e per quanto tempo vengono conservati i dati.
• Mitigazione dei rischi specifici dell'intelligenza artificiale: l'inserimento di richieste, in cui un utente malintenzionato incorpora istruzioni nell'input dell'utente o nei dati esterni per modificare il comportamento o gli output dell'intelligenza artificiale, rappresenta un rischio fondamentale da affrontare tramite la convalida dell'input, i controlli di accesso e il monitoraggio.
• Formazione degli utenti e criteri di utilizzo accettabili: poiché gli utenti influenzano direttamente le operazioni eseguite da un sistema di intelligenza artificiale tramite input e richieste, l'istruzione degli utenti e i criteri chiari rappresentano una parte significativa della responsabilità della sicurezza.

Punto chiave

Il modello di responsabilità condivisa, sia per i servizi cloud tradizionali che per i carichi di lavoro di intelligenza artificiale, crea chiarezza su chi è responsabile di cosa. Quando si scelgono servizi di livello superiore, è possibile delegare più del lavoro di sicurezza sottostante al provider di servizi cloud. Ma non si delega mai la responsabilità per i dati, le identità, la sicurezza degli endpoint e il modo in cui viene usata la tecnologia. Comprendere dove inizia e termina la responsabilità è fondamentale per proteggere l'organizzazione.