Implementare carichi di lavoro nel cloud pubblico sovrano

Questo articolo offre una panoramica di come implementare i carichi di lavoro nel cloud pubblico sovrano.

Classificare i dati per la sovranità

Categorizzando i dati in base ai requisiti normativi e di riservatezza, è possibile proteggere i dati, mantenere la conformità e ridurre i rischi.

Non tutti i dati dell'organizzazione richiedono gli stessi controlli. La classificazione consente ai team di assegnare priorità alle attività di sicurezza e sovranità e allocare le risorse in cui sono più efficaci. I dati ad alto rischio, ad esempio i dati personali o i segreti dello stato, richiedono misure di sicurezza più avanzate e un monitoraggio più rigoroso. I dati a basso rischio possono essere idonei per servizi di piattaforma più ampi che consentono la modernizzazione e l'innovazione.

Definire criteri chiari e predefiniti per la classificazione. Le classificazioni formali non sono richieste da standard come NIST, quindi adottare un framework basato sui rischi appropriato per l'organizzazione.

I criteri di rischio possono includere tipo di dati, riservatezza, obblighi normativi e valore aziendale. Usare strumenti che analizzano attributi, modelli e metadati per assegnare classificazioni in modo coerente ed efficiente. Dopo aver etichettato i dati, applicare controlli di sicurezza, crittografia e azioni dei criteri appropriati per ogni classificazione.

Anche se NIST definisce tre livelli di impatto, molte organizzazioni usano uno schema di classificazione a quattro etichette: Pubblico, Interno, Riservato e Segreto.

Valutare i servizi di Azure per i controlli di sovranità

Azure offre centinaia di servizi, ognuno con caratteristiche uniche di configurazione e gestione dei dati. Non tutti i controlli sovrani si applicano a ogni servizio. Ad esempio, alcuni servizi non supportano chiavi gestite dal cliente e altri non archiviano affatto i dati dei clienti. Per applicare controlli significativi di sovranità dei dati, è necessario comprendere in che modo ogni servizio elabora e archivia i dati.

Considerazioni chiave:

• Archiviazione dati: Il servizio archivia i dati dei clienti? In caso contrario, alcuni controlli (come la crittografia a riposo) non si applicano.
• CMK support: Il servizio supporta le chiavi gestite dal cliente e può usare HSM gestito da Azure?
• Confidential computing: Il confidential computing è rilevante(ad esempio, se il traffico TLS è controllato)?
• Residenza dei dati: Dove vengono archiviati ed elaborati i dati?
• Ruolo del servizio: Quale tipo di dati gestisce il servizio (ad esempio, dati sensibili e metadati)?

Esempi:

• Un servizio di bilanciamento del carico non archivia dati, quindi non è necessaria la crittografia a riposo. Tuttavia, il confidential computing potrebbe essere rilevante se viene controllato il traffico TLS.
• Alcuni servizi, ad esempio Azure Front Door rete CDN, memorizzano nella cache i dati temporaneamente o distribuiscono il contenuto a livello globale.
• Un database di metadati con nomi di vm o GUID richiede controlli meno rigorosi rispetto a una macchina virtuale che ospita i dati della carta di credito.
• Azure Network Manager archivia la configurazione di rete, ma non elabora il traffico di rete effettivo.

Procedure consigliate

Per ogni servizio, valutarne le funzionalità, il ruolo architetturale e il tipo di dati gestiti. Questa valutazione consente di applicare il livello di controllo corretto e di garantire la conformità ai requisiti di sovranità. È possibile documentare i servizi usando una matrice come segue:

Stabilire criteri di governance per la conformità coerente

• Richiedere chiavi gestite dal cliente per i servizi di archiviazione persistente, ad esempio Azure Storage, Azure SQL Database e Cosmos DB.
• Applicare l'affinità a livello di area per i servizi che potrebbero altrimenti replicare o memorizzare nella cache i dati a livello globale, ad esempio Frontdoor, rete CDN o Gestione traffico.
• Limitare l'uso dei servizi nei carichi di lavoro sensibili se non dispongono di funzionalità di residenza o crittografia.
• Abilitare il confidential computing, se applicabile, ad esempio la serie di macchine virtuali con AMD SEV-SNP o Intel TDX.

Come usare la matrice con il modello di classificazione dei dati

Usare la matrice di funzionalità come riferimento durante la progettazione dell'architettura dell'applicazione. Il mapping dei controlli sovrani supportati per ogni servizio consente agli architetti e ai team di sicurezza di comprendere quali garanzie possono applicare.

• Per i servizi che elaborano dati limitati o estremamente riservati, ad esempio transazioni finanziarie, cartelle cliniche o identificatori governativi, applicare un uso rigoroso della chiave gestita dal cliente (CMK), forti garanzie di residenza e confidential computing (ACC) ove applicabile.
• Per i servizi che gestiscono solo i metadati operativi, ad esempio i nomi delle macchine virtuali, la configurazione della topologia o i GUID, la crittografia della piattaforma o i controlli ridotti potrebbero essere sufficienti.

Combinando la matrice di funzionalità con il modello di classificazione dei dati, è possibile progettare ogni carico di lavoro con un comportamento di sicurezza chiaro e applicabile. Questo approccio consente di soddisfare gli obblighi normativi e rafforzare la fiducia e la resilienza operativa negli ambienti cloud sovrani.

Vedere anche

• Progettare criteri sovrani
• Panoramica della crittografia
• Peering privato VPN