Sicurezza del cloud computing: differenze tra le versioni

Versione delle 13:06, 10 dic 2017

Versione attuale delle 04:49, 16 mar 2025

(41 versioni intermedie di 26 utenti non mostrate)

Riga 1:

La '''sicurezza del cloud computing''' o, più semplicemente, la '''sicurezza del [[cloud computing|cloud]]''', si riferisce ad un'ampia gamma di politiche, tecnologie e controlli atti alla protezione di dati, applicazioni e leinfrastrutture associate infrastrutture di [[cloud computing]]. La sicurezza di questo ambito è un sotto-dominio della  [[sicurezza informatica]]  nel suo complesso.

== Descrizione ==
=== Problemi di sicurezza associati al cloud ===

Il [[cloud computing|cloud]] offre agli utenti di archiviare ed elaborare i loro dati e processi in [[Centro elaborazione dati|data center]] di terze parti.<ref name="cloudid">{{cite journalCita pubblicazione| last1 cognome= Haghighat | first1 nome= M. | last2 cognome2= Zonouz | first2 nome2= S. | last3 cognome3= Abdel-Mottaleb | first3 nome3= M. | year anno= 2015 | title titolo= CloudID: Trustworthy Cloud-based and Cross-Enterprise Biometric Identification | doi = 10.1016/j.eswa.2015.06.025 | journal rivista= Expert Systems with Applications | volume = 42 | issue numero= 21| pages pp= 7905–79167905-7916 }}</ref> Le aziende utilizzando il [[cloud]]  tramite differenti modelli di servizio ([[Software as a service|SaaS]], [[Platform as a service|PaaS]], and [[IaaS]]) e modelli di distribuzione (privati, pubblici, ibridi o di community).<ref name="Srinavasin">{{citeCita web|lastcognome=Srinavasin|firstnome=Madhan|titletitolo='State-of-the-art cloud computing security taxonomies: a classification of security challenges in the present cloud computing environment|publishereditore= ACM ICACCI'|yearanno=2012|url=http://doi.acm.org/10.1145/2345396.2345474}}</ref> I problemi di sicurezza associati al cloud computing si dividono in due ampie categorie: problemi di sicurezza affrontati dai [[cloud provider]] (organizzazioni che forniscono servizi cloud) e problemi di sicurezza affrontati dai loro clienti (aziende, organizzazioni o privati che utilizzano i servizi offerti dal cloud stesso).<ref>{{citeCita news|url=http://security.sys-con.com/node/1231725|titletitolo=Swamp Computing a.k.a. Cloud Computing|publishereditore=Web Security Journal|datedata=2009-12-28 dicembre 2009|accessdateaccesso=25 gennaio 2010|dataarchivio=31 agosto 2019|urlarchivio=https://web.archive.org/web/20190831163708/http://security.sys-01-25con.com/node/1231725|urlmorto=sì}}</ref> La responsabilità è condivisa: il provider deve assicurare che la loro infrastruttura è sicura e che i dati e le applicazioni dei clienti sono protette, mentre gli utenti devono adottare misure per rendere le loro applicazioni difficilmente violabili.

Quando un'organizzazione decide di effettuare lo storage dei propri dati o di ospitare un'applicazione sul cloud, perde la possibilità di avere ill'accesso fisico accesso ai server che contengono queste informazioni. Di conseguenza, i potenziali [[dati sensibili]] sono esposti al rischio di attacchi interni.

Secondo un recente report della [[Cloud Security Alliance]], gli attacchi interniche partono dall'interno del cloud provider sono la sesta più grande minaccia nel [[cloud computing]].<ref name="Top Threats to Cloud Computing v1.0">{{citeCita web|titletitolo=Top Threats to Cloud Computing v1.0|url=https://cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf|publishereditore=Cloud Security Alliance|accessdateaccesso=2014-10-20 ottobre 2014|dataarchivio=28 settembre 2018|urlarchivio=https://web.archive.org/web/20180928164516/https://cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf|urlmorto=sì}}</ref> Pertanto, i cloud providers  devono garantire che vengano eseguiti controlli approfonditi sui dipendenti che hanno accesso fisico ai server nelnei loro data center.

Al fine di risparmiare risorse, ridurre i costi e mantenere alta l'efficienza, i cloud providersprovider spesso memorizzano i dati di più clienti sullosulla stessostessa servermacchina. Di conseguenza, esiste la possibilità che i dati privati ​​didi un utente possano essere visualizzati da altri utenti (eventualmente anche loro concorrenti). Per gestire tali situazioni sensibili, i fornitori di servizi cloud dovrebbero garantire il corretto isolamento dei dati e la separazione logica dell'archiviazione.<ref name ="Srinavasin"/>

L'ampio uso della [[virtualizzazione]] nell'implementazione dell'infrastruttura cloud crea problemi di sicurezza per i clienti di un servizio di cloud pubblico.<ref name="Cloud Virtual Security Winkler">{{citeCita web|lastcognome=Winkler|firstnome=Vic|titletitolo=Cloud Computing: Virtual Cloud Security Concerns|url=https://technet.microsoft.com/en-us/magazine/hh641415.aspx|publishereditore=Technet Magazine, Microsoft|accessdateaccesso=12 Februaryfebbraio 2012}}</ref> La [[virtualizzazione]] altera il rapporto tra il sistema operativo e l'hardware sottostante: sia esso relativo al computing, all'archiviazione o persino al networking. Ciò introduce un ulteriore livello che deve essere configurato, gestito e protetto correttamente. Una delle preoccupazioni include la potenziale compromissione del software di virtualizzazione, o "[[hypervisor]]".<ref name="virtualization risks hickey">{{citeCita web|lastcognome=Hickey|firstnome=Kathleen|titletitolo=Dark Cloud: Study finds security risks in virtualization|url=http://gcn.com/articles/2010/03/18/dark-cloud-security.aspx|publishereditore=Government Security News|accessdateaccesso=12 Februaryfebbraio 2012|dataarchivio=30 gennaio 2012|urlarchivio=https://web.archive.org/web/20120130090012/http://gcn.com/articles/2010/03/18/dark-cloud-security.aspx|urlmorto=sì}}</ref> Una Specificdelle concernspreoccupazioni include thela potentialpotenziale tocompromissione compromisedel thesoftware virtualizationdi softwarevirtualizzazione, oro "[[hypervisor]]". While these concerns are largely theoretical, they do exist.<ref name="Securing the Cloud Winkler virt">{{citeCita booklibro|lastcognome=Winkler|firstnome=Vic|titletitolo=Securing the Cloud: Cloud Computer Security Techniques and Tactics|yearanno=2011|publishereditore=Elsevier|___locationcittà=Waltham, MA USA|isbn=978-1-59749-592-9 |pagep=59|url=https://www.elsevier.com/wps/find/bookdescription.cws_home/723529/description#description|accesso=4 maggio 2019|urlarchivio=https://web.archive.org/web/20120729015225/http://www.elsevier.com/wps/find/bookdescription.cws_home/723529/description#description|dataarchivio=29 luglio 2012|urlmorto=sì}}</ref> Ad esempio, una violazione della [[workstation]] dell'amministratore con il software di gestione del software didella virtualizzazione può causare l'interruzione delldei servizi erogati dall'intero datacenterdata center o la riconfigurazione a piacere di un utente malintenzionato.   

=== ControlliLe didimensioni della sicurezza nel cloud ===

In genere si raccomanda di selezionare e implementare i controlli di sicurezza dell'informazioniinformazione in base e in proporzione ai rischi: valutando le minacce, le vulnerabilità e gli impatti. I problemi di sicurezza del cloud possono essere raggruppati in vari modi; [[Gartner]] ne ha identificati sette <ref>{{citeCita news|url=http://www.infoworld.com/d/security-central/gartner-seven-cloud-computing-security-risks-853|titletitolo=Gartner: Seven cloud-computing security risks|publishereditore=InfoWorld|datedata=2 luglio 2008-07-02|accessdateaccesso=2010-01-25 gennaio 2010}}</ref> mentre la Cloud Security Alliance ha preso in considerazione quattordici aree di interesse<ref>{{citeCita web|url=https://cloudsecurityalliance.org/research/projects/security-guidance-for-critical-areas-of-focus-in-cloud-computing/|titletitolo=Security Guidance for Critical Areas of Focus in Cloud Computing|publishereditore=Cloud Security Alliance|yearanno=2011|accessdateaccesso=4 maggio 2011-05-04|urlmorto=sì}}</ref><ref name="forrester">{{citeCita news|url=http://blogs.forrester.com/srm/2009/11/cloud-security-front-and-center.html|titletitolo=Cloud Security Front and Center|publishereditore=Forrester Research|datedata=2009-11-18 novembre 2009|accessdateaccesso=25 gennaio 2010|urlmorto=sì|urlarchivio=https://web.archive.org/web/20091124191907/http://blogs.forrester.com/srm/2009/11/cloud-01security-25front-and-center.html|dataarchivio=24 novembre 2009}}</ref>. I [[Cloud Access Security Broker|Cloud Access Security Brokers (CASB)]] sono un tipo di software che si trova a metà tra gli utenti del servizio cloud e le applicazioni cloud per monitorare tutte le attività e applicare correttamente le politiche di sicurezza.<ref>{{CiteCita web|title titolo= What is a CASB (Cloud Access Security Broker)?|publishereditore= Skyhigh Networks|url = https://www.skyhighnetworks.com/cloud-security-university/what-is-cloud-access-security-broker/|accessdate accesso= 11 agosto 2017|dataarchivio= 13 maggio 2020|urlarchivio= https://web.archive.org/web/20200513130929/https://www.skyhighnetworks.com/cloud-08security-11university/what-is-cloud-access-security-broker/|urlmorto= sì}}</ref> Siccome creare un'infrastruttura sicura al 100% non è mai possibile, spesso ci si affida a servizi di tipo assicurativo che coprono il rischio residuo.

L'architettura di sicurezza del cloud è efficace solo se sono state implementate le corrette difese. Un'efficiente architettura di sicurezza cloud dovrebbe tenere conto dei problemi che si presenteranno relativi alla gestione della sicurezza.<ref name="Krutz, Ronald L. 2010">Krutz, Ronald L., and Russell Dean Vines. "Cloud Computing Security Architecture." Cloud Security: A Comprehensive Guide to Secure Cloud Computing. Indianapolis, IN: Wiley, 2010. 179-80. Print.</ref> Quest'ultima risolve questi problemi effettuando controlli che sono messi in atto per salvaguardare eventuali punti deboli del sistema e ridurre l'effetto di un attacco. Un'architettura di sicurezza per un cloud ha molti tipi di controlli, ma di solito si trovano in una delle seguenti categorie:<ref name="Krutz, Ronald L. 2010"/>

=== LeControlli dimensioni delladi sicurezza nel cloud ===

L'architettura di sicurezza del cloud è efficace solo se sono state implementate le corrette difese. Un'efficiente architettura di sicurezza cloud dovrebbe tenere conto dei problemi che si presenterannopresentano relativi alla gestione della sicurezza.<ref name="Krutz, Ronald L. 2010">Krutz, Ronald L., and Russell Dean Vines. "Cloud Computing Security Architecture." Cloud Security: A Comprehensive Guide to Secure Cloud Computing. Indianapolis, IN: Wiley, 2010. 179-80. Print.</ref> Quest'ultima risolve questi problemi effettuando controlli che sono messi in atto per salvaguardare eventuali punti deboli del sistema e ridurre l'effetto di un attacco. Un'architettura di sicurezza per un cloud ha molti tipi di controlli, ma di solito si trovano in una delle seguenti categorie:<ref name="Krutz, Ronald L. 2010"/>

;Controlli deterrenti

Line 19 ⟶ 24:

;Controlli preventivi

:I controlli preventivi rafforzano il sistema contro gli incidenti, in genere riducendo se non eliminando effettivamente le vulnerabilità note. Una corretta ed efficace autenticazione degli utenti del cloud, ad esempio, rende meno probabile che utenti non autorizzati possano accedere ai sistemi cloud. L'utilizzo di chiavi RSA molto lunghe ne è un esempio.

;Controlli investigativi

Line 27 ⟶ 32:

:I controlli correttivi riducono le conseguenze di un incidente, di solito limitando il danno. Essi entrano in azione durante o dopo un incidente. Il ripristino dei backup del sistema per ricostruire un sistema compromesso è un esempio di controllo correttivo.

=== Sicurezza e Privacy ===

== Le dimensioni della sicurezza nel cloud ==

In genere si raccomanda di selezionare e implementare i controlli di sicurezza dell'informazioni in base e in proporzione ai rischi: valutando le minacce, le vulnerabilità e gli impatti. I problemi di sicurezza del cloud possono essere raggruppati in vari modi; Gartner ne ha identificati sette <ref>{{cite news|url=http://www.infoworld.com/d/security-central/gartner-seven-cloud-computing-security-risks-853|title=Gartner: Seven cloud-computing security risks|publisher=InfoWorld|date=2008-07-02|accessdate=2010-01-25}}</ref> mentre la Cloud Security Alliance ha preso in considerazione quattordici aree di interesse<ref>{{cite web|url=https://cloudsecurityalliance.org/research/projects/security-guidance-for-critical-areas-of-focus-in-cloud-computing/|title=Security Guidance for Critical Areas of Focus in Cloud Computing|publisher=Cloud Security Alliance|year=2011|accessdate=2011-05-04}}</ref><ref name="forrester">{{cite news|url=http://blogs.forrester.com/srm/2009/11/cloud-security-front-and-center.html|title=Cloud Security Front and Center|publisher=Forrester Research|date=2009-11-18|accessdate=2010-01-25}}</ref>. I [[Cloud Access Security Broker|Cloud Access Security Brokers (CASB)]] sono un tipo di software che si trova a metà tra gli utenti del servizio cloud e le applicazioni cloud per monitorare tutte le attività e applicare correttamente le politiche di sicurezza.<ref>{{Cite web|title = What is a CASB (Cloud Access Security Broker)?|publisher=Skyhigh Networks|url = https://www.skyhighnetworks.com/cloud-security-university/what-is-cloud-access-security-broker/|accessdate = 2017-08-11}}</ref>

== Sicurezza e Privacy ==

;Gestione dell'identità

:Ogni azienda ha il proprio sistema di gestione dell'identità per controllare l'accesso alle informazioni e alle risorse informatiche. I fornitori di servizi cloud integrano il sistema di gestione delle identità del cliente nella propria infrastruttura, utilizzando la tecnica del [[Single_signSingle sign-on | SSO]] o sfruttando un sistema di identificazione basato su dati biometrici <ref name="cloudid"/> oppure ancora fornendo un proprio sistema di gestione delle identità <ref>{{citeCita web|url=http://www.darkreading.com/identity-management-in-the-cloud/d/d-id/1140751 |titletitolo=Identity Management in the Cloud |publishereditore=Information Week |datedata=2013-10-25 ottobre 2013 |accessdateaccesso=5 giugno 2013-06-05}}</ref>. CloudID,<ref name="cloudid"/> ad esempio, fornisce un sistema di identificazione biometrica cross-enterprise basata sul cloud che preserva la privacy. Esso collega le informazioni riservate degli utenti ai loro dati biometrici e li memorizza in modo crittografato. Facendo uso di una tecnica di crittografia, l'identificazione biometrica viene eseguita in un dominio crittografato per assicurarsi che il fornitore di servizi cloud o potenziali aggressori non ottengano l'accesso a dati sensibili. <ref name="cloudid"/>

;Sicurezza fisica

:I fornitori di servizi cloud proteggono fisicamente l'hardware IT (server, [[router]], cavi ecc.) da accessi non autorizzati, interferenze, sbalzi di corrente, furti, incendi e disastri naturali inoltre assicurano la [[businesscontinuità continutity | business continuityoperativa]]. Normalmente questi servizi si possono avere usufruendo di data center di livello mondiale (ovvero, professionalmente specificati, progettati, costruiti, monitorati e gestiti). Bisogna sottolineare che la sicurezza informatica senza la [[sicurezza fisica]] dei server non vale nulla; poiché il malintenzionato che riesce a mettere mano fisicamente sulle macchine può violarle scavalcando tutta l'infrastruttura virtuale creata per proteggerle.

;Sicurezza del personale

Line 45 ⟶ 46:

:I cloud providers garantiscono che tutti i dati critici (ad esempio i numeri delle carte di credito o le password) siano mascherati o crittografati e che solo gli utenti autorizzati abbiano accesso ai dati nella loro interezza. Inoltre, le identità e le credenziali digitali devono essere protette come dovrebbero esserlo tutti i dati che il provider raccoglie o produce sull'attività dei clienti nel cloud.

=== La sicurezza del dato ===

Una serie di minacce alla sicurezza sono associate ai servizi in cloud: non solo le tradizionali minacce alla sicurezza, come intercettazioni di rete, esfiltrazioni e attacchi [[DOS|denial of service]], ma anche minacce specifiche al [[cloud computing]], come attacchi ai [[Canale laterale|side channel]], vulnerabilità della virtualizzazione e abuso di servizi cloud. I seguenti requisiti di sicurezza limitano le minacce. <ref>{{CiteCita journalpubblicazione|lastcognome=Jun Tang|firstnome=Yong Cui|datedata=2016|titletitolo=Ensuring Security and Privacy Preservation for Cloud Data Services|url=http://www.4over6.edu.cn/cuiyong/lunwen/Ensuring%20Security%20and%20Privacy%20Preservation%20for%20Cloud%20Data%20Services.pdf|journalrivista=ACM Computing Surveys|doiurlmorto=sì|pmidurlarchivio=https://web.archive.org/web/20160406214320/http://www.4over6.edu.cn/cuiyong/lunwen/Ensuring%20Security%20and%20Privacy%20Preservation%20for%20Cloud%20Data%20Services.pdf|access-datedataarchivio=6 aprile 2016}}</ref>

;Confidenzialità

:La riservatezza del dato è la proprietà che il contenuto di esso non sia reso disponibile o divulgato a utenti non autotrizzatiautorizzati a visionarlo. I dati in outsourcing vengono archiviati in un cloud fuori dal controllo diretto dei proprietari. Solo gli utenti autorizzati possono accedere ai dati mentre tutti gli altri, inclusi i cloud service provider, non devono acquisire alcuna informazione su di essi. Al contempo, i proprietari dei dati si aspettano di utilizzare appieno i servizi dicloud datirelativi cloudai dati per esempio la ricerca, l'elaborazione e la condivisione di questi, senza causarnecausare la dispersione dei contenuti.

;Controllo degli accessi

:Il controllo degli accessi è una pratica che permette al proprietario del dato di eseguire una restrizione selettiva dell'accesso ai suoi dati salvati nel cloud. Alcuni utenti possono essere autorizzati dal proprietario ad accedere ai dati, mentre altri non possono accedervi senza autorizzazione. Inoltre, è auspicabile applicare un controllo di accesso a molto fine ai dati esternalizzati, cioè, creazione di utenti diversi con categorie di privilegi diversi per quanto riguarda l'accesso ai datistesso. In ambienti cloud non affidabili l'autorizzazione di accesso deve essere esclusivamente del proprietario.

;Integrità

:L'integrità dei dati richiede di mantenere e assicurare l'accuratezza e la completezza del dato. Un utente si aspetta sempre che i suoi dati presenti nel cloud possano essere archiviati correttamente e in maniera affidabile. Ciò significa che i dati non devono poter essere illegalmente manomessi, modificati in modo inappropriato, eliminati involontariamente o creati in modo malevolo. Se eventuali operazioni indesiderate corrompono o cancellano i dati, il proprietario dovrebbe essere in grado di rilevare la corruzione o la perdita. Inoltre, quando una porzione dei dati in outsourcing è danneggiata o persa, deve poter essere recuperata.

== CollegamentiCrittografia ==

{{reflist}}

Alcuni algoritmi di crittografia avanzati applicati al campo del cloud computing aumentano la protezione del dato e quindi la privacy. Vediamo ora alcuni esempi di algoritmi effettivamente utilizzati in servizi cloud.

=== Algoritmi di crittografia basati sugli attributi (ABE) ===

==== Ciphertext-policy ABE (CP-ABE) ====

Nel CP-ABE, l'encryptor ha il controllo degli accessi, all'aumentare della complessità della strategia di accesso, diventa più difficile la creazione della chiave pubblica del sistema. Il principale lavoro di ricerca di CP-ABE è focalizzato sulla progettazione della struttura di accesso.<ref>{{Cita pubblicazione|titolo= Attribute-Based Encryption Schemes|url= http://pub.chinasciencejournal.com/article/getArticleRedirect.action?doiCode=10.3724/SP.J.1001.2011.03993|rivista= Journal of Software|pp= 1299-1315|volume= 22|numero= 6|doi= 10.3724/sp.j.1001.2011.03993|nome= Jin-Shu|cognome= SU|nome2= Dan|cognome2= CAO|nome3= Xiao-Feng|cognome3= WANG|nome4= Yi-Pin|cognome4= SUN|nome5= Qiao-Lin|cognome5= HU|urlmorto= sì}}</ref>

==== Key-policy ABE (KP-ABE) ====

Nel KP-ABE, gli insiemi di attributi vengono utilizzati insieme alla chiave privata per visualizzare correttamente i testi crittografati.<ref>{{Cita pubblicazione|titolo= Attribute-based encryption schemes with constant-size ciphertexts|rivista= Theoretical Computer Science|data= 9 marzo 2012|pp= 15-38|volume= 422|doi = 10.1016/j.tcs.2011.12.004|nome= Nuttapong|cognome= Attrapadung|nome2= Javier|cognome2= Herranz|nome3= Fabien|cognome3= Laguillaumie|nome4= Benoît|cognome4= Libert|nome5= Elie|cognome5= de Panafieu|nome6= Carla|cognome6= Ràfols}}</ref>

=== Crittografia omomorfica (FHE) ===

La crittografia completamente omomorfa consente calcoli semplici sulle informazioni crittografate e consente inoltre di calcolare la somma e il prodotto per i dati crittografati senza decrittografia.<ref>{{Cita pubblicazione|url= http://www.ijarcce.com/upload/2014/november/IJARCCE3A%20s%20hema%20Performance%20of%20Ring%20Based%20Fully%20Homomorphic%20Encryption%20for%20securing%20data%20in%20Cloud%20Computing.pdf|titolo= Performance of Ring Based Fully Homomorphic Encryption for securing data in Cloud Computing|cognome= S.Hemalatha|nome= Raguram|data= 2014|rivista= International Journal of Advanced Research in Computer and Communication Engineering}}</ref>

=== Searchable Encryption (SE) ===

La Searchable Encryption è una primitiva crittografica che offre funzioni di ricerca sicure su dati crittografati. Al fine di migliorare l'efficienza della ricerca, la SE generalmente crea indici di parole chiave per eseguire in modo sicuro query utente. Gli schemi SE possono essere classificati in due categorie: SE basata su crittografia a chiave segreta e SE basata su crittografia a chiave pubblica.

== Conformità ==

Numerose leggi e regolamenti riguardano la conservazione e l'uso dei dati. Negli Stati Uniti queste includono le leggi sulla privacy o sulla protezione dei dati, lo standard PCI DSS (Payment Insurance Industry Data Security), l'HIPAA (Health Insurance Portability and Accountability Act), il [[Sarbanes-Oxley Act]], la legge federale sulla sicurezza delle informazioni (FISMA) e la legge sulla protezione della privacy online dei bambini del 1998.

Leggi simili possono essere applicate in diverse giurisdizioni e possono differire in modo abbastanza marcato da quelle applicate negli Stati Uniti. Spesso gli utenti del servizio cloud devono essere consapevoli delle differenze legali e normative tra le giurisdizioni. Ad esempio, i dati archiviati da un provider di servizi cloud possono trovarsi a Singapore e il server avere un [[Mirror (informatica)|mirror]] negli Stati Uniti d'America.<ref>{{Cita web|url=http://www.technologyslegaledge.com/2014/08/29/managing-legal-risks-arising-from-cloud-computing/|titolo=Managing legal risks arising from cloud computing |editore=DLA Piper |accesso=22 novembre 2014}}</ref>

Molti di questi regolamenti impongono particolari controlli (come controlli di accesso e audit) e richiedono report regolari. I clienti di servizi cloud devono assicurarsi che i loro fornitori soddisfino adeguatamente tali requisiti, consentendo loro di adempiere ai loro obblighi poiché sono i principali responsabili.

;[[Continuità operativa]] e [[recupero dati]]

:I fornitori di servizi cloud dispongono di [[Piano di continuità operativa|piani di continuità operativa]] e di [[recupero dati]] per garantire che il servizio possa essere mantenuto in caso di disastro o in caso di emergenza e che qualsiasi perdita di dati venga ripristinata.<ref>{{Cita web|url=http://content.dell.com/us/en/enterprise/d/large-business/benefits-cloud-based-recovery.aspx|titolo=It’s Time to Explore the Benefits of Cloud-Based Disaster Recovery|editore=Dell.com|accesso=26 marzo 2012|urlmorto=sì|urlarchivio=https://web.archive.org/web/20120515134339/http://content.dell.com/us/en/enterprise/d/large-business/benefits-cloud-based-recovery.aspx|dataarchivio=15 maggio 2012}}</ref> Questi piani possono essere condivisi e rivisti dai loro clienti, idealmente in linea con le disposizioni di continuità richieste da questi ultimi. Fare esercitazioni di continuità congiunta possono essere appropriati, simulando, ad esempio, una grave interruzione della fornitura di energia elettrica o di Internet.

;Log and Audit trail

:Oltre a produrre log e audit trail, i fornitori di servizi cloud collaborano con i loro clienti per garantire che questi siano adeguatamente protetti, mantenuti per il tempo necessario dal cliente e accessibili ai fini dell'indagine forense (ad esempio, eDiscovery).

;Requisiti di conformità

:Oltre ai requisiti a cui i clienti sono soggetti, anche i data center utilizzati dai fornitori di servizi cloud potrebbero essere soggetti a requisiti di conformità. L'utilizzo di un provider può comportare ulteriori problemi di sicurezza in relazione alla giurisdizione dei dati, poiché i dati dei clienti o dei locatari potrebbero non rimanere sullo stesso sistema, o nello stesso centro dati o persino all'interno dello stesso cloud del provider.<ref name="Securing the Cloud Winkler">{{Cita libro|cognome=Winkler|nome=Vic|titolo=Securing the Cloud: Cloud Computer Security Techniques and Tactics|anno=2011|editore=Elsevier|città=Waltham, MA USA|isbn=978-1-59749-592-9|pp=65, 68, 72, 81, 218–219, 231, 240|url=https://www.elsevier.com/wps/find/bookdescription.cws_home/723529/description#description|accesso=4 maggio 2019|urlarchivio=https://web.archive.org/web/20120729015225/http://www.elsevier.com/wps/find/bookdescription.cws_home/723529/description#description|dataarchivio=29 luglio 2012|urlmorto=sì}}</ref> Per quanto riguarda l'Unione Europea, da maggio 2018 entrerà in vigore il [[Regolamento generale sulla protezione dei dati|GDPR]] che comporterà il fatto che i dati sensibili dei cittadini dell'Unione Europea dovranno risiedere fisicamente all'interno di un paese membro.

== Problemi legali e contrattuali ==

Oltre ai problemi di sicurezza e conformità sopra elencati, i fornitori di servizi cloud e i loro clienti negoziano i termini di responsabilità (stipulando come verranno risolti gli incidenti che implicano perdita o compromissione dei dati), la proprietà intellettuale e la fine del servizio (quando i dati e le applicazioni vengono restituite definitivamente al cliente). Inoltre, ci sono considerazioni per l'acquisizione di dati dal cloud che potrebbero essere coinvolti in contenziosi.<ref name="adams">{{Cita web|cognome=Adams|nome=Richard|titolo='The emergence of cloud storage and the need for a new digital forensic process model|editore=Murdoch University|anno=2013|url=http://researchrepository.murdoch.edu.au/19431/1/emergence_of_cloud_storage.pdf}}</ref> Questi problemi sono discussi tramite [[Service level agreement|SLA]].

;Pubblici registri

:Le questioni legali possono anche includere requisiti di mantenimento di registri nel settore pubblico, in cui molte agenzie sono obbligate per legge a conservare e rendere disponibili i record elettronici in modo specifico. Questo può essere determinato dalla legislazione, o la legge può richiedere alle agenzie di conformarsi alle regole e alle pratiche stabilite da un'agenzia di tenuta dei registri. Le agenzie pubbliche che utilizzano il cloud computing e lo storage devono tenere conto di queste preoccupazioni.

== Note ==

<references />

== Collegamenti esterni ==

* [https://www.cloudsecurityalliance.org Cloud Security Alliance]

* [https://www.usatoday.com/story/cybertruth/2013/11/25/why-cloud-security-requires-multiple-layers/3683171 Why cloud security requires multiple layers]

* [http://visual.ly/data-security-breaches-2014 Data Security Breaches Infographics]

* [https://aws.amazon.com/security/introduction-to-cloud-security The Beginner's Guide to Cloud Security]

[[Categoria:Cloud computing]]

[[Categoria:Sicurezza informatica]]