Governance del cloud

Cos'è la governance del cloud?

I principali framework per la governance del cloud

COBIT (Control Objectives for Information and Related Technologies): COBIT è un framework riconosciuto a livello globale che si concentra sull'allineamento delle operazioni IT, tra cui gli ambienti cloud, con le strategie aziendali. Si compone di 40 processi di governance e amministrazione che riguardano aree quali la gestione dei rischi, la compliance e l'ottimizzazione delle prestazioni. Fornendo best practice, parametri e linee guida, COBIT consente alle organizzazioni di garantire che le loro iniziative IT e cloud siano allineate agli obiettivi di business. Offre anche certificazioni, come COBIT 2019 Foundation, che convalidano le competenze e contribuiscono al raggiungimento della compliance. COBIT è particolarmente adatto alle organizzazioni alla ricerca di un framework di governance IT completo che si estende agli ambienti cloud, garantendo efficienza operativa e sicurezza, raggiungendo al contempo gli obiettivi strategici.

ITIL (Information Technology Infrastructure Library): ITIL è un framework ampiamente utilizzato che pone enfasi sull’IT Service Management attraverso le best practice per fornire servizi di alta qualità. Si concentra sulla gestione del ciclo di vita del servizio, tra cui strategia, progettazione, operazioni e miglioramento continuo. Le pratiche ITIL, come la gestione degli incidenti e il change management, possono essere adattate agli ambienti cloud per ottimizzare l'affidabilità e la scalabilità. Le certificazioni ITIL convalidano la conoscenza delle pratiche di gestione dei servizi e di compliance. Questo framework è ideale per le organizzazioni che intendono trattare i servizi cloud come parte del loro portafoglio IT più ampio, garantendo l'allineamento alle esigenze aziendali e l'efficienza operativa.

Norme ISO/IEC (38500 e 27017): le norme ISO/IEC forniscono linee guida accettate a livello internazionale per la governance dell'IT e del cloud, con una forte enfasi su sicurezza e compliance. La norma ISO/IEC 38500 offre principi di governance incentrati su responsabilità, strategia e valutazione delle prestazioni, garantendo che le iniziative cloud e IT siano allineate a obiettivi aziendali più ampi. La norma ISO/IEC 27017, d'altra parte, fornisce indicazioni sull'implementazione di controlli di sicurezza specifici per il cloud, per affrontare rischi quali violazioni dei dati, accessi non autorizzati ed errori di configurazione. Questi standard sono particolarmente rilevanti per le organizzazioni che danno priorità alla compliance, alla sicurezza e alla responsabilità nelle loro pratiche di governance del cloud.
 

Ulteriori framework da considerare

NIST Cloud Computing Framework: sviluppato dal National Institute of Standards and Technology, questo framework fornisce indicazioni dettagliate sugli standard del cloud computing, sulla sicurezza e sulle best practice operative. È particolarmente utile per le organizzazioni governative e la pubblica amministrazione che necessitano di una governance del cloud solida e adatta alle loro specifiche esigenze operative e di compliance.

Controlli CIS (Center for Internet Security): questo framework offre un set prioritario di best practice di sicurezza per proteggere gli ambienti cloud dalle minacce informatiche. I benchmark CIS sono ampiamente adottati per proteggere le configurazioni e i servizi cloud rendendoli una risorsa preziosa per le organizzazioni che puntano a rafforzare la loro strategia di sicurezza nel cloud.

TOGAF (The Open Group Architecture Framework): TOGAF si concentra sulla governance dell'enterprise architecture, che comprende la governance del cloud come parte della strategia IT complessiva delle organizzazioni. Aiuta le organizzazioni a creare un approccio strutturato per integrare le soluzioni cloud in un panorama tecnologico più ampio mantenendo al contempo l’allineamento agli obiettivi aziendali.

Framework FinOps: il framework FinOps è specializzato nella gestione delle operazioni finanziarie all’interno degli ambienti cloud. Consente alle organizzazioni di migliorare la visibilità dei costi, ottimizzare la spesa e allineare gli investimenti nel cloud ai risultati di business. Questo framework è particolarmente utile per le organizzazioni che cercano di bilanciare l'efficienza operativa alla responsabilità finanziaria nelle loro strategie cloud.

In conclusione, questi framework forniscono collettivamente alle organizzazioni vari tool e metodologie per gestire gli ambienti cloud in modo efficace, in base ai loro obiettivi specifici, ai requisiti del settore e alle complessità operative.

Problematiche della governance del cloud

La governance del cloud richiede la gestione di più ambienti cloud, il mantenimento della compliance e della sicurezza, la riduzione delle spese e l’eliminazione delle lacune nelle competenze. L’innovazione tecnologica rapida e la necessità di integrare in modo efficace i framework di governance nelle operazioni aziendali intensificano questi problemi. Qui di seguito è riportata una panoramica dettagliata dei problemi principali.

1. Ambienti cloud complessi.

• Complessità multi-cloud: le organizzazioni in genere utilizzano più cloud provider. Questa diversità rende la governance delle piattaforme incoerente, rendendo l’amministrazione e la supervisione difficili.
• Tecnologie in rapida evoluzione: vengono spesso rilasciati nuovi servizi, architetture e tool cloud. Il costante aggiornamento delle policy di governance per adattarle alle nuove tecnologie potrebbe mettere a dura prova i framework obsoleti.
• Problemi di integrazione: l’integrazione delle procedure di governance storiche alle applicazioni cloud attuali potrebbe lasciare falle nella sicurezza e nella compliance. L'integrazione richiede un'attenta preparazione e flessibilità.
• Shadow IT: i team e i reparti che utilizzano risorse cloud senza approvazione o monitoraggio creano punti ciechi nella governance, aumentando le minacce alla sicurezza e complicando la gestione dei costi.
• Ambienti ibridi: le policy di governance devono soddisfare le esigenze dell’infrastruttura cloud e on-premise, aggiungendo complessità.

2. Compliance e sicurezza.

• Requisiti di compliance: le organizzazioni devono far fronte a un numero crescente di standard normativi, come GDPR, HIPAA e SOC 2. Garantire che le soluzioni cloud rispettino questi standard è fondamentale quando si opera in numerosi settori con normative diverse.
• Rischi per la sicurezza: le infrastrutture cloud dinamiche e in rete sono soggette a violazioni dei dati, configurazioni errate, accessi non autorizzati e attacchi interni. La governance deve garantire che questi rischi siano mitigati con misure di sicurezza rigorose.
• Mancanza di competenze: la governance di un'organizzazione potrebbe essere ostacolata dalla mancanza di personale addetto alla governance del cloud, alla sicurezza e alla compliance.
• Sicurezza dei dati: i dati sensibili archiviati nel cloud necessitano di crittografia avanzata, controllo degli accessi e funzionalità di monitoraggio per evitare perdite.
• Modello di responsabilità condivisa: i cloud provider salvaguardano l'infrastruttura mentre i clienti proteggono i dati e le applicazioni. Trascurare o interpretare erroneamente questi obblighi condivisi potrebbe portare a lacune nella governance.

3. Gestione dei costi.

• Spese impreviste: l'utilizzo del cloud comporta spese in continua evoluzione in base ai modelli di consumo. Il controllo dei costi è essenziale per evitare spese impreviste dovute a overprovisioning, risorse sottoutilizzate o supervisione del budget.
• Scarsa visibilità: senza tool adeguati, le aziende potrebbero avere difficoltà a visualizzare il consumo di risorse e le spese, con conseguenti inefficienze e sforamenti di budget.
• Problematiche di ottimizzazione: il monitoraggio continuo e il fine tuning per bilanciare prestazioni, scalabilità e contenimento dei costi richiedono molte risorse.

4. Altri problemi.

• Resistenza al cambiamento: gli stakeholder che temono i cambiamenti o non ne colgono i vantaggi solitamente si oppongono alle nuove policy e ai nuovi framework di governance.
• Mancanza di standard: senza standard per la governance del cloud, le aziende devono creare i propri framework, portando a discrepanze e inefficienze.
• Errore umano: una configurazione errata, l'implementazione delle policy o il processo decisionale degli utenti possono causare vulnerabilità della sicurezza e inefficienze operative.
• Dipendenza da un fornitore: affidarsi a un singolo cloud provider limita la flessibilità e aumenta la dipendenza da tecnologie proprietarie, rendendo difficile la supervisione.
• Scalabilità: con l'espansione delle operazioni cloud, i framework di governance potrebbero avere difficoltà ad adattarsi all'aumento della complessità e del volume, richiedendo un’ottimizzazione continua.
• Monitoraggio e automazione: scalare compliance, sicurezza ed efficienza richiede un monitoraggio in tempo reale e l'automazione dei processi di governance, che sono operazioni complesse.

Tendenze future nella governance del cloud

Con il crescente utilizzo del cloud computing, gli ambienti cloud diventano più complessi, mettendo a dura prova la sicurezza, la compliance, l’ottimizzazione dei costi e l’efficacia operativa. Nuove tecnologie, metodi e normative definiranno la governance del cloud per risolvere questi problemi. Di seguito sono elencate le tendenze future della governance del cloud.

1. Governance e automazione basate sull'AI: AI e ML consentiranno una governance del cloud migliore, automatizzata e proattiva.

• Rilevamento e risposta alle minacce basati sull'AI: AI e ML miglioreranno la sicurezza del cloud prevedendo, rilevando e neutralizzando gli attacchi in tempo reale, senza necessità di intervento manuale.
• Compliance automatizzata e applicazione delle policy: i sistemi di intelligenza artificiale monitorano le risorse cloud per verificarne la compliance alle regole e alle policy, suggerendo correzioni in caso di infrazioni.
• Ottimizzazione intelligente delle risorse: gli algoritmi dell’AI valutano le tendenze di consumo del cloud per offrire tecniche di allocazione delle risorse a costi contenuti, ad alte prestazioni e scalabili.
• Infrastruttura con funzionalità di autoriparazione: i sistemi basati sull’AI rileveranno e risolveranno gli errori nelle impostazioni cloud, riducendo al minimo il downtime e aumentando la resilienza.

2. Maggiore sicurezza e compliance: con l'evoluzione dei rischi per la sicurezza del cloud e dei requisiti normativi, la governance del cloud darà priorità a framework di protezione e compliance solidi.

• Architettura zero trust: la governance del cloud darà priorità al principio del "non fidarsi mai, verificare sempre", che impone il controllo costante dell'identità per tutte le richieste di accesso, indipendentemente dalla posizione dell'utente.
• Elaborazione riservata: i TEE diventeranno sempre più diffusi, isolando i carichi di lavoro sensibili in enclave sicure basate su hardware per un'elaborazione sicura in ambienti non attendibili.
• Crittografia sicura contro gli attacchi quantistici: le organizzazioni che si occupano di elaborazione quantistica devono implementare metodi di crittografia come quelli basati sui reticoli e sugli hash per prevenire gli attacchi con computer quantistici.
• Sovranità e localizzazione dei dati: i framework di governance garantiranno la residenza dei dati in Paesi specifici per la compliance al GDPR, al CCPA e ad altre normative regionali.

3. Governance multi-cloud e del cloud ibrido: mentre le aziende implementano strategie di cloud ibrido e multi-cloud, i framework di governance cambieranno per gestire in modo coerente gli ambienti eterogenei.

• Framework di governance unificati: questi framework semplificheranno le architetture cloud complesse fornendo policy e controlli uniformi tra l'infrastruttura on-premise e i diversi cloud provider.
• Visibilità e controllo centralizzati: una governance efficace dipenderà da tool che offrono una visione unificata degli asset, del livello di sicurezza, dello stato di compliance e delle spese nelle distribuzioni multi-cloud e ibride.
• Interoperabilità e standardizzazione: facilitando la gestione uniforme della piattaforma, le iniziative volte a migliorare l'interoperabilità tra i servizi cloud ridurranno la dipendenza da un fornitore e semplificheranno le procedure di governance.

4. Integrazione di FinOps: man mano che le aziende ottimizzano la spesa per il cloud e il valore aziendale, FinOps diventerà un elemento fondamentale per la governance del cloud.

• Ottimizzazione dei costi: i framework di governance incorporeranno misure di gestione dei costi per garantire la responsabilità finanziaria, evitare le spese eccessive e ottimizzare gli investimenti nel cloud.
• Visibilità e allocazione dei costi: i tool avanzati consentono un'allocazione precisa e completa dei costi del cloud tra team, progetti e divisioni aziendali.
• Controlli dei costi e definizione dei budget automatizzati: applicano restrizioni di spesa, inviano avvisi ed eseguono misure di risparmio sui costi per l'efficienza finanziaria.

5. Iniziative di sostenibilità e cloud green: poiché le aziende puntano a ridurre l'impatto delle loro operazioni cloud, la governance di tali ambienti includerà la sostenibilità ambientale.

• Impatto ambientale come fattore di governance: le organizzazioni promuoveranno processi ecologici e ridurranno il loro impatto ambientale attraverso misure di sostenibilità nei framework di governance.
• Efficienza energetica e risorse rinnovabili: per supportare iniziative cloud ecosostenibili, i cloud provider forniranno ai data center tecnologie a risparmio energetico e fonti di energia rinnovabile.
• Contabilizzazione e rendicontazione delle emissioni di carbonio: consentendo alle aziende di monitorare e divulgare le emissioni associate al cloud computing, i sistemi di contabilizzazione del carbonio trasparenti promuoveranno la sostenibilità e la responsabilità.

6. Governance cloud-native: con la standardizzazione delle architetture cloud-native, i framework di governance si adatteranno agli attuali processi di sviluppo e distribuzione.

• Governance integrata nelle pipeline DevOps: per garantire che la sicurezza e la compliance siano incluse fin dalle prime fasi del ciclo di vita dello sviluppo, le policy di governance saranno integrate nelle pipeline DevSecOps.
• Policy-as-Code: automatizza le regole di governance, supporta il controllo delle versioni e garantisce coerenza durante lo sviluppo, i test e la distribuzione.
• Kubernetes e sicurezza dei container: i framework di governance si adatteranno per risolvere i problemi operativi e di sicurezza delle applicazioni containerizzate e dell'orchestrazione.

7. Analisi avanzate e governance predittiva: il processo decisionale proattivo e la pianificazione strategica nell'analisi predittiva cambieranno la governance del cloud.

• Gestione predittiva dei rischi: utilizza analisi avanzate per prevedere ed evitare i problemi di compliance e sicurezza.
• Previsione delle tendenze di utilizzo: i metodi predittivi valutano le tendenze di utilizzo per prevedere le richieste di risorse e ottimizzare la pianificazione della capacità.
• Key Performance Indicator e metriche di governance: dashboard e report migliorati forniscono informazioni fruibili per la compliance, l'efficienza dei costi e la sicurezza, consentendo uno sviluppo continuo.

HPE Morpheus, zero trust e OpsRamp sono tool interconnessi che influiscono sulle attuali tecniche di governance del cloud, soprattutto nei contesti ibridi e multi-cloud. Sono collegati come segue.

1. HPE Morpheus e la governance del cloud.

• Amministrazione unificata del cloud ibrido: HPE Morpheus è una piattaforma per l'amministrazione del cloud ibrido che offre un unico piano di controllo per diverse infrastrutture IT, come cloud privati e pubblici e piattaforme container (Kubernetes). Per una governance del cloud efficace sono necessari visibilità e controllo centralizzati.
• Applicazione delle policy e misure di sicurezza: Morpheus consente alle aziende di stabilire e implementare policy di governance per la gestione dei costi, la sicurezza, la compliance e il provisioning delle risorse nell’ecosistema di cloud ibrido. Imposta quote e limiti di accesso e utilizza modelli autorizzati in modo coerente.
• Automazione per la governance: automatizzando il provisioning, la distribuzione dei carichi di lavoro e la gestione del ciclo di vita, Morpheus garantisce policy di governance coerenti senza intervento manuale, eliminando errori e violazioni di tali policy.
• Gestione e ottimizzazione dei costi: Morpheus offre analisi dei costi alle aziende per gestire le spese cloud, valutare le opportunità di efficienza e garantire il rispetto delle regole di budget per la governance finanziaria.
• Self-service con la governance: Morpheus bilancia agilità e controllo consentendo agli sviluppatori di accedere all'infrastruttura e preservando al contempo i parametri IT, di sicurezza e finanziari.

2. Zero trust e governance del cloud.

• Base di sicurezza per la governance: zero trust si basa sulla filosofia del "non fidarsi mai, verificare sempre". Presuppone che nessun utente, dispositivo o comunicazione di rete sia affidabile, indipendentemente dalla posizione. Questo segue i principi di governance del cloud per un accesso sicuro e conforme alle risorse.
• Controllo granulare degli accessi: i concetti zero trust, come l'accesso basato sui privilegi minimi, semplificano la governance del cloud prevenendo le violazioni della sicurezza mediante la concessione a utenti e applicazioni dei soli diritti essenziali.
• Monitoraggio e convalida continui: zero trust supporta la visibilità in tempo reale sui modelli di accesso e sulle vulnerabilità della sicurezza, consentendo l’adozione di misure proattive nella governance del cloud.
• Governance dell'identità e dei dispositivi: zero trust richiede una solida verifica dell'identità e l'autenticazione dei dispositivi per la governance del cloud, garantendo l’accesso alle risorse alla sole organizzazioni autorizzate.
• Microsegmentazione: l'implementazione della microsegmentazione, parte fondamentale di zero trust, contribuisce a imporre la governance separando i carichi di lavoro e le risorse nel cloud, limitando i movimenti laterali degli aggressori e imponendo standard di sicurezza appropriati per ciascun segmento.

3. OpsRamp e governance del cloud.

• OpsRamp: una piattaforma per la gestione delle operazioni IT in ambienti ibridi e multi-cloud che offre visibilità, monitoraggio e automazione. Per una governance efficace del cloud è necessaria un'ampia visibilità, poiché non è possibile regolamentare quello che non si può vedere.
• Monitoraggio e avvisi unificati: OpsRamp fornisce monitoraggio e notifiche consolidati dai cloud provider e dai sistemi on-premise, fornendo un quadro unificato dello stato operativo e delle problematiche di governance.
• AIOps per una governance proattiva: OpsRamp utilizza AI e machine learning per rilevare anomalie, prevedere problemi e automatizzare la correzione, garantendo che le risorse cloud aderiscano ai requisiti di governance.
• Informazioni relative a compliance e sicurezza: OpsRamp consente di rispettare le normative e le regole aziendali fornendo informazioni sulla sicurezza e sulla compliance delle risorse cloud.
• Automazione per l'efficienza operativa e la governance: le funzionalità di automazione di OpsRamp possono applicare le best practice e automatizzare i processi regolari, garantendo la coerenza e il rispetto dei requisiti di governance.