Politica di utilizzo del cloud

La Politica di utilizzo del cloud (P27) fornisce uno standard unificato e obbligatorio per adottare, gestire e governare i servizi di cloud computing, includendo i modelli Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) e Software-as-a-Service (SaaS). Mira a garantire che tutto l’uso organizzativo delle piattaforme cloud sia sicuro, conforme alle normative pertinenti e supporti l’efficienza operativa e l’innovazione, proteggendo la riservatezza, l’integrità e la disponibilità dei patrimoni informativi. L’ambito di applicazione della politica è completo e si applica a tutti i dipendenti, contraenti, fornitori terzi e consulenti coinvolti in qualsiasi provisioning, configurazione, amministrazione o utilizzo di servizi cloud. Questa estensione include implementazioni cloud pubbliche, private, ibride e community, copre tutte le classificazioni dei dati e include esplicitamente sia ambienti interni sia ambienti ospitati dal fornitore, nonché la prevenzione dello shadow IT e dell’uso di cloud personali per finalità aziendali. Gli obiettivi chiave della politica includono: definire linee guida e baseline chiare per l’adozione del cloud, ridurre al minimo i rischi operativi e normativi (come configurazioni errate, violazione dei dati e accesso non autorizzato) e imporre controlli solidi di sicurezza e protezione dei dati tramite obblighi contrattuali, valutazione continua e diritto di audit per tutti i fornitori cloud. La politica richiede la manutenzione centralizzata di un registro dei servizi cloud, supervisionato dal Responsabile della sicurezza delle informazioni (CISO), che cataloga fornitori approvati, tipologie di servizio, valutazioni del rischio, responsabili aziendali e attributi contrattuali, supportando una rigorosa gestione del ciclo di vita degli accessi e il monitoraggio continuo della conformità. Ruoli e responsabilità sono delineati con precisione, assegnando funzioni di gestione e supervisione tra Alta Direzione, Responsabile della sicurezza delle informazioni (CISO), Cloud Security Architect, operazioni IT, Approvvigionamento, Legale, Proprietari degli asset informativi e utenti finali. La politica applica controlli tecnici e procedurali rigorosi: gestione delle identità e degli accessi (IAM) basata sull’identità (con controllo degli accessi basato sui ruoli (RBAC) e autenticazione a più fattori (MFA) obbligatori per gli account amministrativi), configurazioni di sicurezza di base, cifratura (utilizzando standard approvati dal NIST), requisiti di registrazione di audit e integrazione dei servizi cloud con sistemi Security Information and Event Management (SIEM). I contratti con i fornitori cloud devono disciplinare diritto di audit, notifiche di violazione, restituzione/cancellazione dei dati e monitoraggio continuo della conformità. I dati possono essere trasferiti nel cloud solo dopo la classificazione dei dati e i trasferimenti transfrontalieri devono rispettare le normative stabilite, come il GDPR. La gestione del rischio è centrale: qualsiasi scostamento richiede eccezioni documentate, piani di trattamento del rischio dettagliati, approvazione da parte del Responsabile della sicurezza delle informazioni (CISO) o del Cloud Security Architect e riesame multilivello per scenari ad alto rischio. La governance continua è applicata tramite monitoraggio continuo della conformità regolare, integrazione con la risposta agli incidenti (con escalation tramite la Politica di risposta agli incidenti (P30)), riesami annuali e aggiornamenti intermedi guidati dagli esiti degli incidenti, migrazioni o modifiche normative. Le violazioni delle disposizioni della politica, come l’uso di account cloud non approvati o la mancata applicazione dei controlli richiesti, attivano una gamma di conseguenze, dalla formazione all’azione legale o alla cessazione. La Politica di utilizzo del cloud è collegata a politiche correlate su sicurezza delle informazioni, gestione delle modifiche, classificazione dei dati, controlli crittografici, registrazione e monitoraggio, risposta agli incidenti e audit, rafforzando ulteriormente il suo ruolo di fondamento autorevole della governance del cloud.