Contesto della certificazione

La norma ISO/IEC 27017 definisce una serie di controlli di sicurezza specifici per il cloud, destinati sia ai fornitori di servizi cloud che ai clienti di tali servizi.

All’interno di questo quadro, ACTAINFO allinea le proprie operazioni cloud con:

• il potenziamento dei controlli di sicurezza cloud
• la governance del modello di responsabilità condivisa
• la configurazione sicura dei servizi cloud
• la mitigazione dei rischi negli ambienti cloud

Modello di governance della sicurezza cloud

L’implementazione comprende una governance strutturata degli ambienti cloud, che include:

• infrastrutture applicative SaaS
• piattaforme digitali basate sul cloud
• sistemi di hosting e
• trattamento dei dati
  ambienti digitali ibridi

Tutti i sistemi sono gestiti secondo un modello di governance della sicurezza nativo del cloud.

Aree chiave di controllo del cloud

I controlli di sicurezza sono applicati in:

• configurazione e rafforzamento dei servizi cloud
• gestione degli accessi negli ambienti cloud
• meccanismi di segregazione e isolamento dei dati
• controlli amministrativi e operativi sicuri
• monitoraggio delle attività basate sul cloud

Questi controlli garantiscono un’applicazione coerente della sicurezza in tutti gli ambienti distribuiti.

Quadro di responsabilità condivisa

La sicurezza negli ambienti cloud è strutturata attorno a un modello di responsabilità condivisa, che definisce chiari confini tra:

• responsabilità del fornitore di servizi
• responsabilità della piattaforma/infrastruttura
• responsabilità a livello di applicazione

Ciò garantisce chiarezza, responsabilità e una riduzione del rischio operativo.

Allineamento tra rischio e conformità

I controlli di sicurezza nel cloud vengono costantemente allineati con:

• il quadro di riferimento del Sistema di Gestione della Sicurezza delle Informazioni (SGSI)
• i controlli sulla privacy ISO/IEC 27001
• ISO/IEC 27018 (ove applicabile)
• le politiche aziendali di gestione del rischio
  i requisiti di conformità normativa

L’obiettivo è mantenere un’architettura di sicurezza coerente e multilivello.