Contro l’aumento dei costi relativi allo storage, nell’implementazione della crittografia
Negli ultimi 12 mesi, è stato difficile fare il Chief Information Officer o il Chief Information Security Officer, con un numero record di violazioni dati che hanno posto fine a varie carriere; come ampiamente pubblicizzato, le cose non accennano a migliorare nel prossimo futuro. Esistono oggi due principali tendenze settoriali nella sicurezza dei dati:
1) Giro di vite dei requisiti normativi degli enti di tutto il mondo.
2) Livelli sempre più sofisticati da parte degli hacker malintenzionati.
La protezione dei dati personali posseduti da un’azienda richiede un approccio globale più che una difesa puramente perimetrica. Questa deve essere progettata in modo sicuro, proteggere dalle minacce interne di dipendenti inconsapevolmente complici delle violazioni dati e allineata alla traiettoria delle priorità di sicurezza dei dati, sia ora che in futuro.
La cosa preoccupante è che perfino alcune delle aziende più attente alle questioni di sicurezza stanno concentrando il lavoro di crittografia verso obiettivi sbagliati.
Crittografia End-to-End (E2EE): la pallottola d’argento?
La crittografia dei dati può avvenire a diversi livelli dello stack del data center, da dentro lo storage array fino all’applicazione stessa.
A Hacker's View of your DATA / Attack Surface
La crittografia dei dati a livello di storage (a riposo) è sempre stata la strategia di riferimento, in quanto gli storage array possono cifrare i dati all’istante, senza carenze prestazionali. Perciò il Chief Information Officer è contento, perché può spuntare la casella della ‘cifratura’ pensando che i dati siano perfettamente protetti. In realtà non è assolutamente così, perché per un’azienda la superficie attaccabile è più ampia rispetto a un attacco diretto al data storage e alla cifratura, visto che a questo livello non è possibile proteggere i dati in movimento.
La crittografia deve essere applicata a un livello più alto dello stack per proteggere i dati in tutti gli strati, compresi quelli in transito lungo la rete, in modo da renderli immuni a violazioni dati e alle relative conseguenze (per esempio Comma 3, Articolo 34 del GDPR 34). Ai Chief Information Officer che non adottino questo nuovo standard di riferimento per la protezione dei dati cliente verrà sicuramente chiesto, dopo una violazione dei dati, perché non l’abbiano fatto.
Il conflitto col data storage moderno
Pur emergendo come requisito critico per la difesa della sicurezza dati, l’implementazione della crittografia a livello applicativo può presentare un enorme problema nel contesto reale del data storage moderno. Inoltre, l’uso comune di All-Flash Arrays (AFAs) nei data center, da molti considerato come il futuro, è in aperto conflitto con la capacità di implementazione della crittografia E2EE laddove è più necessaria. La crittografia E2EE inibisce la capacità di risparmio degli All-Flash Arrays, impedendo alle aziende di ottenere un efficientamento dei costi nella protezione dei dati privati dei clienti.
Se, ad esempio, il rapporto riduzione dati di un’azienda scende da 4:1 a 1:1 in conseguenza della crittografia, il costo già esorbitante degli All-Flash Arrays quadruplica – proposta semplicemente insostenibile per un’attività.
In direzione opposta rispetto agli All-Flash Arrays definiti dai media, le soluzioni di storage che adottano un approccio software esclusivo, come InfiniBox (la soluzione pluripremiata di INFINIDAT) pongono le fondamenta necessarie per raggiungere il livello di sicurezza dati imposto dagli ambienti normativi di oggi e dalle minacce del cyberspazio di domani.
Leggi questo white paper per comprendere meglio l'impatto della sicurezza completa dei dati sui costi di archiviazione dei dati aziendali.
