ACSC - Cloud Computing Security for Cloud Service Providers

Questo documento è stato ideato per aiutare i revisori a convalidare il profilo di sicurezza di un servizio cloud al fine di assicurare alle organizzazioni la garanzia indipendente delle rivendicazioni sulla sicurezza fornite dai provider di servizi cloud (CSP). Inoltre, può anche aiutare i CSP a offrire servizi cloud sicuri.

I team per la sicurezza informatica delle organizzazioni, gli architetti cloud e i rappresentanti aziendali devono fare riferimento al documento Cloud Computing Security for Tenants.

Il cloud computing, secondo la definizione del National Institute of Standards and Technology degli Stati Uniti, offre alle organizzazioni vantaggi potenziali come il miglioramento dei risultati aziendali. Ridurre i rischi associati all'utilizzo dei servizi cloud è una responsabilità condivisa dall'organizzazione (denominata "tenant") e dal provider di servizi cloud, inclusi i loro subappaltatori (denominati "CSP"). In ultima analisi però le organizzazioni sono responsabili della protezione dei dati e sta a loro garantirne la riservatezza, l'integrità e la disponibilità.

Alle organizzazioni viene richiesto di eseguire una valutazione del rischio e di implementare le misure di riduzione associate prima di utilizzare i servizi cloud. I rischi variano a seconda di fattori come la sensibilità e la criticità dei dati da archiviare o elaborare, la modalità di implementazione e gestione del servizio cloud, l'uso che l'organizzazione intende fare di tale servizio e le sfide associate al rilevamento e alla risposta tempestiva agli imprevisti da parte dell'organizzazione. Le organizzazioni devono confrontare questi rischi, attraverso una valutazione obiettiva, con quelli dati dall'utilizzo di sistemi informatici interni che potrebbero essere scarsamente protetti, offrire una disponibilità inadeguata o non essere in grado di soddisfare i requisiti aziendali moderni.

L'ambito d'azione di questo documento riguarda i modelli Infrastructure as a Service (IaaS), Platform as a Service (PaaS) e Software as a Service (SaaS), forniti da un CSP come parte di un cloud pubblico, di un community cloud e, in misura minore, di un cloud ibrido o di un cloud privato esternalizzato.