La sicurezza dei sistemi informativi (SI) è fondamentale per la protezione dei dati sensibili, sia di natura pubblica che privata. L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) ha formulato raccomandazioni specifiche per l’hosting dei Sistemi informativi nel cloud, in base alla loro sensibilità e alla natura delle minacce a cui sono esposti. Il presente articolo illustra tali raccomandazioni e i criteri da tenere in considerazione per garantire una sicurezza ottimale.
Gli strumenti necessari per l’attuazione delle raccomandazioni
Le raccomandazioni dell’ANSSI si basano su tre elementi chiave:
- Tipi di offerte cloud
- Tipologia di minaccia
- La natura dei sistemi informativi
1. Tipi di offerte cloud secondo l’ANSSI
Il tipo di offerta cloud è essenziale per determinare il livello di sicurezza richiesto. Le offerte possono essere commerciali (pubbliche, private, comunitarie) o non commerciali (interne, comunitarie).
Offerte cloud commerciali
- Pubblico : Questa offerta è condivisa tra tutti i clienti che ne usufruiscono. Garantisce un’elevata flessibilità e scalabilità, ma può comportare rischi in termini di sicurezza e riservatezza dei dati a causa della condivisione delle risorse.
- Privato : L’offerta di cloud privato è dedicata a un’unica entità e mette a disposizione risorse (processore, spazio di archiviazione) fisicamente dedicate a tale entità. Ciò consente un maggiore controllo sulla sicurezza e sulla gestione dei dati, ma può risultare più costoso rispetto alle soluzioni di condivisione delle risorse.
- Comunità : Questo tipo di offerta cloud viene implementato per soddisfare le esigenze di un gruppo di soggetti che condividono interessi comuni, siano essi enti pubblici o privati. Le risorse vengono condivise tra i membri della comunità, consentendo di ripartire i costi e di ottimizzare l’utilizzo delle infrastrutture.
Offerte cloud non commerciali
- Interno : Questo tipo di offerta viene implementato internamente nell’infrastruttura dell’ente utente. La gestione e il monitoraggio delle infrastrutture possono essere assicurati dall’ente stesso o da un subappaltatore. Questo approccio consente all’ente di beneficiare dei vantaggi del cloud, quali la flessibilità e la scalabilità, mantenendo al contempo uno stretto controllo sulla sicurezza e sulla gestione dei dati.
- Comunità : In alcuni casi specifici, le entità appartenenti allo stesso settore di attività possono unire le proprie esigenze per creare un’infrastruttura cloud comunitaria. Ciò consente di condividere i costi e le risorse, mantenendo al contempo un certo livello di controllo e sicurezza. Esempi di questo tipo di offerta includono iniziative quali Pi e Nubo.
2. Tipologia di minaccia
I sistemi informativi possono essere esposti a diverse tipologie di minacce. L’ANSSI distingue tre grandi categorie di minacce: le minacce strategiche, le minacce sistemiche e le minacce hacktiviste o isolate.
Minaccia strategica
Le minacce strategiche assumono la forma di attacchi informatici persistenti e mirati, spesso finanziati dai governi. Questi attacchi utilizzano notevoli risorse tecniche e organizzative e sono condotti con grande discrezione. Queste minacce mirano spesso a destabilizzare le istituzioni o a compromettere la sicurezza nazionale, prendendo di mira infrastrutture critiche o settori strategici.
Alcuni Stati possono avvalersi di leggi extraterritoriali o di normative specifiche per accedere ai dati ospitati nel cloud senza dover ricorrere ad attacchi informatici. I fornitori di servizi di hosting soggetti a tali leggi sono tenuti a trasmettere i dati dei propri clienti alle autorità, spesso senza possibilità di ricorso né di previa informazione dei clienti interessati.
Minaccia sistemica
Le minacce sistemiche possono interessare un gran numero di entità e comprendono principalmente la minaccia informatica, caratterizzata da attacchi informatici opportunistici e spesso redditizi, quali il ransomware e le frodi.
Tali minacce sono inoltre amplificate dalla crescente disponibilità di strumenti e servizi offensivi, commercializzati da aziende private. Tali servizi possono essere utilizzati per l’intelligence economica, lo spionaggio industriale o consentire ad alcuni Stati con risorse limitate di acquisire capacità offensive.
Hacktivist o minaccia isolata
Le minacce hacktiviste o isolate sono spesso motivate da ideologie politiche o sociali. Gli hacktivisti mirano a promuovere una causa o a protestare contro azioni specifiche, compromettendo i sistemi informativi dei propri bersagli. Gli attacchi possono includere la defacciatura di siti web, attacchi distribuiti di tipo «denial of service» (DDoS) o fughe di dati. Le minacce isolate, dal canto loro, sono spesso opera di singoli individui o piccoli gruppi non affiliati a organizzazioni più ampie.
- Le Repository SecNumCloud L’ANSSI propone norme di sicurezza e buone pratiche che garantiscono un elevato livello di sicurezza. La qualifica SecNumCloud assicura che le offerte cloud rispettino tali requisiti, sia dal punto di vista tecnico che operativo.
- La Qualificazione SecNumCloud, basata su tale quadro di riferimento, viene attribuita dall’ANSSI alle offerte cloud in modalità PaaS, IaaS o SaaS e garantisce la fiducia nelle offerte cloud e nelle pratiche operative degli operatori qualificati. Tuttavia, tale qualifica non garantisce la sicurezza dei servizi digitali dei clienti che utilizzano tali offerte.
- Il « Certificazione di sicurezza » SecNumCloud consente agli utenti di individuare offerte cloud volte a proteggere i dati e i trattamenti sensibili dalle minacce informatiche e dalle leggi extraterritoriali. Tale qualifica agevola inoltre i processi di certificazione dei servizi digitali dei clienti, offrendo loro un certo livello di garanzia sulle infrastrutture sottostanti.
3. La natura dei sistemi informativi
Il terzo elemento chiave delle raccomandazioni dell’ANSSI riguarda la natura dei sistemi informativi in questione:
- Sistemi informativi a diffusione limitata (DR) Questi sistemi trattano dati classificati come riservati, che richiedono misure di protezione specifiche per evitare la divulgazione non autorizzata.
- Sistemi informativi sensibili che rientrano nella dottrina del cloud presso le istituzioni centrali dello Stato Questi sistemi, che non fanno parte del SIIV, trattano dati sensibili secondo la circolare cloud del centro e richiedono un'attenzione particolare per garantirne la sicurezza.
- Sistemi informativi sensibili degli operatori importanti (OIV) e degli operatori essenziali (OSE) : Sebbene non siano soggetti alla stessa regolamentazione dei SIIV, tali sistemi sono considerati sensibili a causa della natura dei dati che trattano, il che richiede misure di protezione rafforzate.
- Sistemi informativi di importanza vitale (SIIV) Questi sistemi sono fondamentali per la sicurezza nazionale, l'economia e la capacità di sopravvivenza della nazione. Un attacco alla loro sicurezza o al loro funzionamento potrebbe compromettere seriamente questi aspetti, rappresentando un pericolo significativo per la popolazione.
L’attuazione delle raccomandazioni dell’ANSSI
L'ANSSI definisce le seguenti raccomandazioni per i quattro sistemi informativi presentati sopra, a seconda della sensibilità dell'elaborazione e dei dati, nonché del livello di minaccia associato:
Livello sensibile di DR IS
- L’ANSSI raccomanda l’utilizzo di offerte cloud qualificate SecNumCloud non commerciali (interne e comunitarie), nonché di offerte commerciali private. Tali opzioni consentono di usufruire di un’infrastruttura dedicata, riducendo così il rischio di propagazione di un attacco da un cliente all’altro.
- Sono inoltre prendibili in considerazione le offerte cloud commerciali qualificate SecNumCloud, sia comunitarie che pubbliche. Tuttavia, esse comportano una condivisione delle risorse informatiche tra più clienti (ad esempio, l’archiviazione dei dati su un’unica risorsa fisica o l’hosting di siti web sugli stessi server fisici).
La decisione di esternalizzare l’hosting su un’offerta cloud commerciale qualificata SecNumCloud deve essere presa dall’ente interessato, sulla base di un’analisi dei rischi che dimostri che la soluzione offre un livello di protezione adeguato.
È fondamentale tenere conto dell’ubicazione del servizio di hosting e della nazionalità degli amministratori quando l’accesso a determinate informazioni è limitato in base alla nazionalità (ad esempio, le informazioni a diffusione limitata – Specifiche per la Francia). In tal caso, un’offerta cloud non commerciale potrebbe risultare più adeguata per soddisfare i requisiti della norma IGI 1300.
Informazioni sensibili che rientrano nella dottrina del cloud al centro dello Stato
- In conformità con la «dottrina del cloud al centro» dello Stato, tali sistemi devono essere ospitati esclusivamente su piattaforme cloud qualificate SecNumCloud (interne, private, comunitarie o pubbliche).
SI sensibili di un operatore di importanza vitale e SI sensibili di un operatore di servizi essenziali (compresi i sistemi informativi essenziali)
- L’ANSSI raccomanda l’utilizzo di qualsiasi soluzione qualificata SecNumCloud per tali sistemi.
Sistemi informativi critici (SIIV)
- Data la natura sensibile dei trattamenti e dei dati da essi gestiti, i SIIV richiedono una decisione motivata da parte del responsabile dell’ente interessato.
- Per i SIIV compatibili con le tecnologie cloud, l’ANSSI raccomanda le offerte cloud qualificate SecNumCloud non commerciali (interne e comunitarie) e quelle commerciali private, che consentono di disporre di un’infrastruttura dedicata e di ridurre al minimo il rischio di propagazione di un attacco da un cliente all’altro.
L’ANSSI non esclude l’utilizzo di altri tipi di offerte cloud commerciali, a condizione che:
- Sono qualificati SecNumCloud
- Il responsabile dell’ente basa la propria decisione su un’analisi dei rischi ben motivata relativa all’esternalizzazione dell’hosting del SIIV e sul rispetto di tutti gli obblighi normativi applicabili ai SIIV.