VMWare: “Aumentare la sicurezza con infrastrutture software-design e virtualizzate”

Così come la trasformazione digitale sta trasformando radicalmente il modo con il quale le aziende competono e le organizzazioni pubbliche contribuiscono allo sviluppo delle nazioni, allo stesso modo gli approcci tradizionali alla sicurezza informatica non riescono a tenere il passo con i crescenti rischi cibernetici che la stessa digitalizzazione ha introdotto.

I costi derivanti dalle violazioni cibernetiche hanno raggiunto globalmente 445 miliardi di dollari all’anno (Center for Strategic & International Studies) e 9 miliardi di euro all’anno per l’Italia (Clusit) nonostante i crescenti investimenti in sicurezza informatica (75,4 miliardi di dollari nel 2015 secondo Gartner), mostrando come un approccio alla sicurezza ad hoc e reattivo non sia più in grado di proteggere i dati delle aziende e delle organizzazioni pubbliche. Proprio il settore pubblico a livello globale conta il maggior numero di violazioni di darti nel 2015 (Gemalto) con oltre 307 milioni di record sottratti (+476% rispetto al 2014) pari al 43% di tutti i record violati in tutti i settori.

Nonostante il tema della cyber security e della sua governance sia dibattuto nel nostro Paese sin dai primi anni 2000, solo di recente sono stati registrati importanti passi in avanti nell’individuazione di una roadmap per l’implementazione di una strategia nazionale. Tra il 2012 e il 2013, infatti, venne completato il quadro degli interventi di natura strategica nazionale a tutela delle Infrastrutture Critiche, con riguardo alla protezione cibernetica e alla sicurezza informatica nazionale. Dopo la Legge n. 133 del 7 agosto 2012, che attribuisce al comparto intelligence nuove e specifiche competenze in materia di protezione cibernetica e sicurezza informatica, e dopo il decreto Legge del 18 ottobre 2012, n.179 “Ulteriori misure urgenti per la crescita del Paese”, provvedimento Crescita 2.0, che nasce con l’obiettivo di dare attuazione all’implementazione della Agenda Digitale, venne emanato il DPCM del 24 gennaio 2013 che getta le basi per la definizione della strategia nazionale. A febbraio del 2016 è stata pubblicata una proposta di Framework Nazionale per la Cyber Security, realizzata dal CIS-Sapienza e dal Laboratorio Nazionale di Cyber Security, in collaborazione con diverse organizzazioni pubbliche e private richiamata dall’Agenzia per l’Italia Digitale (AgID) nella pubblicazione del 26/9/2016 in merito alle indicazioni ufficiali per valutare e innalzare il livello di sicurezza informatica delle Pubblica Amministrazioni attraverso il documento delle Misure minime per la sicurezza ICT delle pubbliche amministrazioni.

Nel contesto di trasformazione digitale della Pubblica Amministrazione, nella circolare n. 2 del 24 giugno 2016, l’AgID anticipa il “Modello strategico di evoluzione del Sistema Informativo della Pubblica Amministrazione” e il tema della cyber security rappresenta un nodo fondamentale da affrontare, essendo trasversale al livello delle infrastrutture e verticale agli ecosistemi di interoperabilità.

VMware è convinta che sia fondamentale adottare una nuova architettura di sicurezza informatica basata sui concetti del modello “Zero Trust” (concettualizzato da Forrester nel 2013), che considera insicure tutte le reti e che impone di ripensare la sicurezza attraverso un approccio inside-out, rendendo la sicurezza una proprietà intrinseca delle applicazioni che si estende a utenti e dati in modo coerente attraverso ogni luogo (data center, cloud privato o pubblico) e ogni dispositivo. Solo così si può far fronte ad attacchi informatici sempre più complessi e sconosciuti, mitigando concretamente il rischio di una violazione dei dati.

L’obiettivo è quello di garantire interazioni sicure tra utenti e applicazioni/dati. È necessario garantire la riservatezza, l’integrità e la disponibilità di tali interazioni in un contesto dove sia le minacce che lo scenario infrastrutturale e applicativo stanno cambiando. Non si tratta più solo di datacenter, ma di Infrastructure as a Service (IaaS) e Platform as a Service (PaaS). Non sono più soltanto i desktop aziendali ma device mobili, laptop gestiti dagli utenti e perfino device IoT. Anche le applicazioni sono cambiate. Non solo più uno stack monolitico ma sistemi distribuiti, composed services, applicazioni mobili e SaaS.

L’applicazione del modello “Zero Trust” diventa realizzabile in modo operativamente sostenibile attraverso un approccio software-defined delle infrastrutture, con la virtualizzazione della rete e della sicurezza conseguendo i seguenti benefici per una concreta mitigazione del rischio cibernetico.

• Ottimizzazione della sicurezza: da un approccio secondo il quale uno delle sfide più critiche consiste nel mettere in sicurezza l’ambiente virtualizzato sempre più diffuso, con l’introduzione delle tecnologie di virtualizzazione della rete si è passati a un approccio che prevede l’impiego della virtualizzazione per ottimizzare i processi di sicurezza.
• Segmentazione della rete facilitata, ubiquità: una segmentazione della rete corretta e operativamente sostenibile consente di distribuire la protezione di ciascun servizio associandola al perimetro del servizio stesso. In tal modo sulla rete di trasporto transitano esclusivamente dei flussi trusted preventivamente verificati e autorizzati dal servizio che li ha prodotti in accordo alle policy definite. Ciò consente di proteggere ogni carico di lavoro, evitando di lasciare non protetti quelli a bassa priorità, spesso obiettivo di attacchi per l’infiltrazione nei data center.
• Visibilità più granulare: la cosiddetta micro-segmentazione consente di ottenere un maggiore livello di visibilità e controllo delle operazioni legate ai singoli carichi di lavoro. Il punto di osservazione situato all’interno dell’hypervisor è un punto privilegiato, in quando gode sia delle relative informazioni di contesto legate al servizio erogato che del corretto isolamento/disaccoppiamento dall’infrastruttura
• Agilità, velocità e adattabilità: la combinazione della virtualizzazione della rete e della micro-segmentazione consentono di apportare significativi miglioramenti per il business in termini di agilità e velocità, ma anche in ambito sicurezza. Tale modello riduce drasticamente il tempo per il provisioning di una nuova rete (pochi minuti), consentendo la completa automazione del processo. Diversamente dalla sostanziale rigidità delle reti fisiche tradizionali, le reti virtuali possono essere riconfigurate on-demand e consentono di inserire nuovi servizi dinamicamente. Lo stesso tipo di beneficio impatta anche i processi di security, permettendo una gestione più fluida in ambito controllo degli accessi e dei privilegi ma soprattutto consentendo una maggiore capacità di reazione e di offrire l’adeguato e contestualizzato livello di sicurezza.