Il tuo data center è davvero sicuro? Controlla queste statistiche.

Un data center può sembrare controllato dall’esterno e tuttavia presentare gravi lacune di sicurezza al suo interno. Un cancello chiuso non protegge dal furto delle credenziali. Un firewall non impedisce a un dipendente di entrare in una stanza riservata. Un backup non aiuta molto se non è mai stato testato. Quando esamino la sicurezza del data center, guardo all'intera catena: l'edificio, la rete, le persone, le apparecchiature e il piano di ripristino. Una debolezza in un’area può influenzare l’intero servizio. Comincio con l'accesso fisico. Ogni visitatore dovrebbe avere un motivo chiaro per accedere al sito. I registri dei visitatori devono includere l'orario di arrivo, l'orario di partenza, l'host, l'area di accesso e i controlli di identità. I badge temporanei dovrebbero scadere automaticamente. L'accesso del personale dovrebbe corrispondere al ruolo attuale piuttosto che al ruolo passato. Un data center può utilizzare lettori di carte, controlli biometrici, guardie di sicurezza, telecamere e trappole. Questi strumenti funzionano meglio quando si supportano a vicenda. Solo una telecamera registra un evento. Una telecamera collegata ai registri di accesso può aiutare a mostrare chi è entrato, quando è avvenuto l’accesso e se la persona aveva il permesso. Controllo anche le aree meno visibili: - Banchine di carico - Uscite di emergenza - Accesso al tetto - Locali cavi - Aree generatori - Spazi del sistema di raffreddamento - Magazzini - Zone di lavoro degli appaltatori Una revisione della sicurezza che esamina solo l'ingresso principale lascia troppo fuori dal quadro. L'incendio del marzo 2021 presso la sede di OVHcloud a Strasburgo ha dimostrato perché i controlli delle strutture e la pianificazione del ripristino devono essere rivisti insieme. L'incidente ha interessato servizi e dati dei clienti. La protezione antincendio, la separazione dei siti, la posizione di backup e le procedure di ripristino erano tutti fattori importanti. Un'azienda può disporre di severi controlli sugli accessi e tuttavia dover affrontare una grave interruzione quando i suoi dati e sistemi dipendono da un sito. La protezione della rete richiede lo stesso livello di attenzione. Preferisco un design di rete segmentato. I sistemi di gestione, i carichi di lavoro dei clienti, le piattaforme di backup, gli strumenti di sicurezza e i sistemi di costruzione non dovrebbero condividere tutti un percorso aperto. Se un aggressore raggiunge una parte dell'ambiente, la segmentazione può limitare il movimento. I controlli utili includono: - Autenticazione a più fattori per account privilegiati - Account amministratore separati - Segmentazione della rete - Regole del firewall riviste in base a una pianificazione prestabilita - Accesso remoto sicuro - Monitoraggio degli endpoint - Raccolta di registri centralizzata - Avvisi per attività di accesso insolite - Gestione regolare delle patch L'accesso remoto merita molta attenzione. Un account di supporto con ampi permessi può creare una grande esposizione se utilizza una password debole o rimane attivo dopo la fine di un progetto. Controllo se vengono registrate le sessioni remote, se l'accesso ha una data di scadenza e se ogni azione può essere collegata ad un utente nominato. Le password non dovrebbero essere l'unica protezione per i sistemi sensibili. Una password rubata può aprire una porta, ma l’autenticazione a più fattori aggiunge un altro controllo. Anche gli account privilegiati dovrebbero avere autorizzazioni limitate. Un amministratore che gestisce l'archiviazione potrebbe non aver bisogno dell'accesso ai sistemi di gestione delle retribuzioni o ai controlli dell'edificio. Gli aggiornamenti software e firmware costituiscono un'altra parte della recensione. I sistemi senza patch possono contenere punti deboli noti. Non considero l'applicazione delle patch un'attività una tantum. I team necessitano di un elenco di risorse, una pianificazione basata sul rischio, passaggi di test e un modo per confermare che gli aggiornamenti siano stati applicati. Le persone danno forma alla sicurezza ogni giorno. Un membro dello staff può detenere una carta di accesso, approvare un fornitore, reimpostare un account o connettere un laptop a una rete di gestione. La formazione dovrebbe concentrarsi su questi compiti reali invece di basarsi su avvertimenti generali. Chiedo ai team di esercitarsi nelle risposte a situazioni quali: - Un chiamante richiede la reimpostazione della password di emergenza - Un appaltatore arriva senza un ordine di lavoro corrispondente - Un visitatore segue un dipendente attraverso una porta sicura - Un avviso mostra un accesso da una posizione insolita - Un dispositivo di archiviazione viene trovato in una stanza riservata Brevi esercizi possono rivelare una proprietà poco chiara. Potrebbero dimostrare che il personale non sa chi approva l'accesso, chi contatta un cliente o chi chiude un account compromesso. L'accesso del fornitore richiede un proprio record. Un appaltatore dovrebbe avere un ambito definito, date approvate, contatti nominati e una chiara fase di offboarding. Gli account condivisi rendono la revisione più difficile perché l'attività non può essere legata a una persona. I singoli account creano una traccia più chiara. I sistemi di backup dovrebbero essere isolati dall'accesso normale alla produzione. Se il ransomware raggiunge contemporaneamente i sistemi di produzione e i backup collegati, il ripristino diventa più difficile. Cerco copie offline o protette separatamente, controlli di accesso per amministratori di backup, crittografia, regole di conservazione e test di ripristino. Un rapporto di backup che dice "riuscito" non dimostra che l'azienda possa ripristinare i propri servizi. Voglio vedere un test. Il team può ripristinare un database? Può ricostruire una macchina virtuale? Può ripristinare le impostazioni dell'applicazione? Il personale può trovare il supporto giusto senza fare affidamento su una sola persona? I piani di risanamento dovrebbero includere anche la comunicazione. I clienti necessitano di informazioni accurate sullo stato del servizio, sui sistemi interessati, sulle azioni previste e sulle soluzioni alternative disponibili. Un piano tecnico senza un percorso di comunicazione può creare confusione durante un'interruzione. Il monitoraggio aiuta i team a notare il cambiamento. I registri di sicurezza dovrebbero coprire l'accesso fisico, le azioni privilegiate, gli eventi di rete, le modifiche al sistema e l'attività di backup. I registri necessitano di un periodo di conservazione e protezione contro alterazioni non autorizzate. Gli avvisi dovrebbero essere esaminati da persone che conoscono l'aspetto della normale attività. Un gran numero di avvisi può nascondere gli eventi che richiedono attenzione. Preferirei vedere un insieme più piccolo di avvisi utili piuttosto che un lungo elenco che nessuno esamina. Gli esempi includono uno strumento di sicurezza disabilitato, ripetuti accessi di amministratore non riusciti, accesso da una posizione imprevista e modifiche alle regole del firewall al di fuori del processo approvato. I test dovrebbero corrispondere ai rischi del sito. Una scansione tecnica potrebbe individuare software obsoleti, ma non mostrerà se una telecamera punta verso la porta sbagliata. Un test di penetrazione può rivelare un punto debole della rete, ma potrebbe non rivelare che un vecchio badge apre ancora una stanza protetta. Le ispezioni fisiche, le revisioni degli accessi, le scansioni delle vulnerabilità, gli esercizi sugli incidenti e i test di ripristino rispondono a domande diverse. Conservo un semplice record di revisione con cinque campi: - Cosa è stato controllato - Cosa è stato trovato - Chi possiede l'azione - Quando è prevista l'azione - Come verrà verificato il completamento Questo formato semplifica il monitoraggio del lavoro di sicurezza. Aiuta inoltre il management a vedere se un problema noto viene affrontato o semplicemente discusso. Un data center sicuro non è definito da telecamere, guardie o da un elenco di prodotti. Lo giudico in base all'efficacia dei controlli e alla rapidità con cui il team riesce a rilevare, contenere e ripristinare un problema. Se dovessi valutare un sito oggi, farei una domanda pratica: “Mostrami cosa succede quando un account affidabile, una carta di accesso fisico o un sistema chiave falliscono”. La risposta spesso rivela più di una semplice brochure sulla sicurezza.

I numeri possono far sembrare sana un’azienda nascondendo i problemi sottostanti. Le entrate potrebbero aumentare, il traffico sul sito web potrebbe aumentare e il numero dei clienti potrebbe aumentare. Tuttavia, uno sguardo più attento ai dati può rivelare una fidelizzazione più debole, costi di servizio in aumento, pagamenti ritardati o una crescente tensione operativa. Utilizzo un piccolo insieme di segnali di rischio per capire cosa sta realmente accadendo. Questi numeri non prevedono tutti i problemi. Mi aiutano a porre domande migliori prima che un problema minore diventi costoso. ## La crescita dei ricavi non racconta tutta la storia Un'azienda può registrare vendite più elevate mentre il suo margine di profitto si riduce. Ad esempio, un'azienda di software potrebbe aumentare le entrate mensili da $ 80.000 a $ 100.000. Sembra positivo. Se i costi dell’assistenza clienti, le commissioni pubblicitarie e le richieste di rimborso aumentano contemporaneamente, le entrate extra potrebbero non creare molto valore finanziario. Confronto: - Crescita dei ricavi - Margine lordo - Costo di acquisizione del cliente - Tasso di rimborso - Valore medio dell'ordine - Spese operative Un controllo utile è confrontare la crescita dei ricavi con la crescita dei profitti. Se le entrate aumentano del 20% ma il profitto aumenta solo del 3%, ne cerco la causa. L'azienda potrebbe fare affidamento su sconti, traffico costoso o prodotti a basso margine. La crescita diventa meno utile quando ogni nuova vendita richiede più denaro e tempo da parte del personale. ## L'abbandono dei clienti può mostrare problemi in anticipo Il numero dei clienti spesso sembra stabile perché i nuovi clienti sostituiscono quelli che se ne vanno. Immagina un servizio in abbonamento con 1.000 clienti. Durante un mese, si uniscono 100 nuovi clienti e 100 clienti esistenti si annullano. Il totale resta a 1.000, ma l'azienda ha perso parte della clientela e deve spendere di più per mantenere le stesse dimensioni. Traccio: - Tasso di abbandono mensile - Tasso di acquisti ripetuti - Valore della vita del cliente - Motivi di annullamento - Tempo tra gli acquisti - Richieste di supporto prima della cancellazione Un tasso di abbandono in aumento può indicare problemi di prezzo, onboarding debole, difetti del prodotto o un divario tra le promesse di vendita e l'esperienza del cliente. Separo anche l'abbandono volontario dai pagamenti falliti. Questi casi necessitano di risposte diverse. Un cliente che se ne va dopo un'esperienza negativa ha bisogno di una soluzione diversa da un cliente il cui pagamento con carta è stato rifiutato. ## Il traffico può nascondere intenzioni deboli dell'utente Un traffico elevato sul sito Web non sempre significa ottime prestazioni aziendali. Una pagina può attirare molti visitatori tramite parole chiave generiche, post sui social o link di riferimento. Se questi visitatori non leggono la pagina, non inviano un modulo, non chiamano l'azienda o non completano un acquisto, il traffico potrebbe avere un valore limitato. Confronto il traffico con: - Sessioni con coinvolgimento - Tempo medio sulle pagine chiave - Tasso di uscita - Tasso di completamento del modulo - Tasso di conversione per fonte - Entrate per pagina di destinazione Un semplice esempio aiuta. Il traffico di ricerca può portare 10.000 visite e 50 vendite. Una campagna e-mail più piccola può portare 1.000 visite e 80 vendite. La campagna e-mail ha una portata inferiore ma un'intenzione del cliente più forte. Preferisco misurare cosa fanno i visitatori dopo essere arrivati. Una visita è solo l'inizio del percorso del cliente. ## I modelli di reclamo possono indicare un problema più ampio È possibile isolare un reclamo. Un reclamo ripetuto di solito merita maggiore attenzione. Raggruppo i reclami per argomento, prodotto, sede, dipendente, metodo di consegna e tipologia di cliente. Ciò può mostrare modelli difficili da vedere nei singoli messaggi. I segnali comuni includono: - Più reclami sulla stessa funzionalità - Più problemi di consegna in un'area - Domande ripetute sulla fatturazione - Aumento delle richieste di rimborsi - Tempi di risposta più lunghi da parte dell'assistenza - Reclami simili da parte di nuovi clienti Un'azienda può trattare ciascun caso separatamente e non cogliere la causa condivisa. Ad esempio, diversi clienti potrebbero segnalare che un prodotto è difficile da utilizzare. Il team di supporto può rispondere a ogni persona con istruzioni, mentre il problema reale è un imballaggio poco chiaro o un onboarding inadeguato. I dati dei reclami diventano più utili quando li collego a rimborsi, cancellazioni e resi di prodotti. ## I tempi di inattività non sono l'unico rischio tecnologico Non è necessario che un sistema smetta di funzionare completamente per creare rischi aziendali. Il caricamento lento delle pagine, i tentativi di pagamento falliti, i moduli non funzionanti e le notifiche ritardate possono ridurre le vendite senza produrre un chiaro report di interruzione. Osservo: - Tasso di transazioni non riuscite - Tempo di risposta della pagina - Tasso di errore per dispositivo - Abbandono del modulo - Tasso di accesso non riuscito - Disponibilità del servizio durante i periodi di punta Una pagina di pagamento che non riesce per il 2% degli utenti può apparire funzionante durante una normale revisione. Nel corso di migliaia di transazioni, questi tentativi falliti possono incidere sulle entrate e sulla fiducia dei clienti. Verifico anche se i problemi riguardano un browser, un dispositivo mobile, una posizione o un gruppo di clienti specifici. Piccoli problemi tecnici spesso rimangono nascosti nelle medie complessive. ## Il flusso di cassa può essere più utile delle vendite Un'azienda può registrare forti vendite e tuttavia affrontare pressioni di cassa. Ciò accade quando i clienti pagano in ritardo, i costi di inventario aumentano o i fornitori richiedono pagamenti più rapidi rispetto a prima. Rivedo i tempi di ingresso e uscita del denaro dall'azienda. I dati chiave includono: - Scadenza dei crediti - Ritardo medio di pagamento - Giorni di inventario - Termini di pagamento del fornitore - Cassa operativa mensile - Obblighi di pagamento ricorrenti Supponiamo che le vendite aumentino del 15%, ma le fatture non pagate più vecchie di 60 giorni raddoppiano. L'azienda potrebbe dover rivedere i termini di credito, il processo di fatturazione o il mix di clienti. Non considero le fatture non pagate come reddito garantito. Fino all’arrivo del denaro, rimane un rischio di flusso di cassa. ## I dati sul personale possono mostrare tensioni operative Il numero dei dipendenti viene spesso rivisto attraverso l'organico e le buste paga. Questa visione potrebbe non cogliere i primi segnali di pressione. Considero: - Turnover del personale - Congedi per malattia - Ore di straordinario - Ruoli aperti - Tempo di formazione - Lavoro completato per dipendente - Ticket di supporto per membro del team Un aumento degli straordinari può aiutare un team a soddisfare la domanda a breve termine. Se continua per diversi mesi, potrebbe indicare carenza di personale, processi deboli o obiettivi di servizio non realistici. Un modello comune appare nell'assistenza clienti. Il volume dei ticket aumenta, i tempi di risposta crescono e il personale esperto inizia ad andarsene. Ogni numero può sembrare gestibile da solo. Insieme, mostrano una squadra sotto pressione. ## Un modo pratico per valutare il rischio Utilizzo un semplice processo di revisione mensile. ### 1. Scegli un piccolo gruppo di metriche Troppe dashboard possono rendere i problemi più difficili da individuare. Di solito inizio con entrate, margine, abbandono, reclami, flusso di cassa, errori di servizio e pressione del personale. ### 2. Confronta le tendenze, non i singoli risultati Una settimana debole potrebbe non mostrare un problema duraturo. Un cambiamento costante nell’arco di diversi periodi di riferimento merita maggiore attenzione. ### 3. Suddividere i dati in gruppi utili Le cifre complessive possono nascondere problemi locali. Confronto i risultati per prodotto, regione, tipo di cliente, dispositivo, fonte di marketing e dimensione dell'account. ### 4. Controlla il motivo dietro il numero Un tasso di rimborso più elevato può derivare da un difetto del prodotto, da prezzi poco chiari, ritardi nella consegna o da un cambiamento nel mix di clienti. Il numero mostra dove cercare. Di per sé non ne spiega la causa. ### 5. Stabilisci un punto di risposta chiaro Ogni metrica dovrebbe avere un'azione pratica. Un aumento dei pagamenti non riusciti può portare a una revisione del checkout. Un tasso di abbandono più elevato può portare a interviste ai clienti. Ritardi di pagamento più lunghi possono portare a un processo di fatturazione successivo. ### 6. Registra cosa è cambiato Tengo una breve nota sul problema, sull'azione intrapresa e sul risultato. Questo mi aiuta a evitare di ripetere la stessa discussione ogni mese. ## Evitare di leggere ogni numero isolatamente I segnali di allarme più forti spesso compaiono tra i parametri. Un calo nella conversione combinato con pagine più lente può suggerire un problema tecnico. Rimborsi più elevati combinati con più reclami potrebbero indicare un problema nel prodotto o nella consegna. L’aumento dei ricavi combinato con il calo del margine può dimostrare che la crescita delle vendite sta costando troppo. Faccio tre domande: - Cosa è cambiato? - Dove è cambiato? - Quale altro numero si è mosso contemporaneamente? Questo approccio mantiene la revisione focalizzata sulle cause invece che sui risultati superficiali. Un buon reporting non significa raccogliere la massima quantità di dati. Si tratta di trovare i numeri che mi aiutano a prendere una decisione migliore. Quando confronto i segnali finanziari, relativi ai clienti, operativi e tecnici, i rischi nascosti diventano più facili da individuare e più facili da discutere.

Un data center può sembrare sicuro dall’esterno mentre all’interno permangono seri rischi. Porte chiuse, telecamere e sistemi di allarme sono importanti, ma non proteggono ogni parte dell'operazione. Un'unità di raffreddamento guasta, un account amministratore rubato, un backup non testato o un semplice errore di cablaggio possono influire sulla disponibilità del servizio e sulla protezione dei dati. Quando esamino la sicurezza del data center, prendo in considerazione cinque aree: accesso fisico, alimentazione e raffreddamento, sicurezza della rete, ripristino dei dati e procedure del personale. Ogni area supporta le altre. Un firewall potente non può risolvere un'interruzione di corrente. Un backup non può essere d'aiuto se nessuno ha testato il processo di ripristino. ## L'accesso fisico richiede più di una porta chiusa a chiave Comincio controllando chi può entrare nell'edificio, chi può raggiungere le sale server e come viene registrata ogni visita. Un piano di accesso pratico dovrebbe includere: - Un processo di accesso dei visitatori - Controlli di identità ai punti di ingresso - Zone di accesso separate per uffici, locali tecnici e aree di rete - Schede di accesso con record di singoli utenti - Copertura con telecamera vicino a porte, aree di carico e scaffali per attrezzature - Un processo per rimuovere l'accesso quando un dipendente o un appaltatore se ne va - Revisioni regolari delle autorizzazioni di accesso Le schede di accesso condiviso creano un punto debole. Se una tessera viene utilizzata da più persone, un record di accesso può mostrare che una tessera è entrata nella stanza senza indicare chi la trasportava. Preferisco credenziali individuali, abbinate a registri che i manager esaminano secondo una pianificazione prestabilita. Anche gli appaltatori hanno bisogno di limiti chiari. Un tecnico potrebbe aver bisogno di accedere a un rack o a un sistema di alimentazione. Ciò non significa che la persona debba avere accesso illimitato all’intera struttura. L'accesso temporaneo può ridurre l'esposizione consentendo al tempo stesso di continuare i lavori di manutenzione. Un sistema di telecamere è utile, ma non dovrebbe essere considerato l'unico controllo. Le fotocamere aiutano nella revisione dopo un evento. Le regole di accesso aiutano a prevenire che l'evento accada. ## La protezione dell'alimentazione deve essere testata sotto pressione Un alimentatore stabile mantiene in funzione server, sistemi di storage e apparecchiature di rete. I data center utilizzano spesso più di una fonte di alimentazione, gruppi di continuità, generatori di backup e sistemi di trasferimento automatico. L'attrezzatura stessa è solo una parte del piano di sicurezza. Chiedo inoltre: - Il sistema di alimentazione di riserva è stato testato con un carico reale? - Per quanto tempo il generatore può supportare la struttura? - I livelli di carburante vengono controllati e documentati? - Le batterie vengono monitorate per età e condizioni? - Le squadre di manutenzione possono lavorare su un percorso di alimentazione mentre un altro rimane attivo? - Gli avvisi di alimentazione vengono inviati alle persone che possono rispondere? Un esempio realistico è un provider di hosting con due alimentatori collegati allo stesso punto di distribuzione locale. Sulla carta il sito ha due feed. Un fallimento regionale colpisce entrambi. Il fornitore potrebbe avere ancora un generatore, ma un trasferimento ritardato o una batteria scarica possono causare un'interruzione del servizio. Questo è il motivo per cui controllo l'intero percorso di potenza invece di contare le apparecchiature. Un sistema di backup è utile solo quando si avvia, trasporta il carico previsto e riceve una risposta da personale addestrato. ## I guasti al raffreddamento possono danneggiare il servizio e le apparecchiature. I server producono calore durante il giorno. Un problema di raffreddamento può aumentare rapidamente la temperatura, soprattutto in una stanza con un'elevata densità di rack. Una revisione della sicurezza dovrebbe coprire: - Sensori di temperatura e umidità - Avvisi per aumento di calore - Pianificazione del flusso d'aria - Disposizione dei corridoi caldi e freddi - Manutenzione preventiva delle unità di raffreddamento - Capacità di raffreddamento di backup - Procedure per ridurre il carico durante un evento di raffreddamento Un problema comune è lo scarso flusso d'aria causato da spazi rack inutilizzati, pannelli del pavimento aperti o cavi che bloccano le prese d'aria. La stanza può essere dotata di potenti apparecchiature di raffreddamento, ma alcuni rack continuano a essere più caldi di altri. Non mi baso su una singola lettura della temperatura. I sensori in diverse posizioni forniscono una visione migliore delle condizioni. Anche gli avvisi dovrebbero avere soglie chiare. Se ogni avviso è contrassegnato come urgente, il personale potrebbe smettere di rispondere con attenzione. Se le soglie sono troppo ampie, la squadra potrebbe reagire dopo che l'attrezzatura ha già raggiunto un livello non sicuro. ## La sicurezza della rete inizia dal controllo degli account Un data center può avere forti controlli fisici ed essere comunque esposto al rischio derivante dal furto della password. Raccomando un piano di sicurezza che includa: - Autenticazione a più fattori per gli account amministrativi - Account separati per ciascun dipendente - Autorizzazioni limitate in base alle mansioni lavorative - Accesso remoto sicuro - Aggiornamenti regolari di software e firmware - Separazione della rete tra sistemi di gestione e carichi di lavoro dei clienti - Registri per l'attività dell'account e le modifiche alla configurazione - Un processo per la revisione di comportamenti di accesso insoliti Gli account amministratore condivisi rendono le indagini più difficili. Se più persone utilizzano un unico accesso, il record dell'attività non può mostrare chi ha modificato una regola del firewall o eliminato un record di sistema. Inoltre, ove possibile, mantengo le interfacce di gestione lontane dall'accesso alla rete pubblica. L'amministrazione remota dovrebbe passare attraverso punti di accesso controllati, con regole di registrazione e approvazione adeguate al rischio dell'azione. Una breve politica sulla password non è sufficiente. Il personale deve sapere come gestire i messaggi di phishing, le richieste di supporto sospette e le richieste di accesso impreviste. Molti incidenti di sicurezza iniziano con un messaggio convincente piuttosto che con un attacco tecnico al server stesso. ## I backup necessitano di un test di ripristino Molte aziende affermano di disporre di backup. Meno riescono a ripristinare sistemi importanti entro un periodo noto. Controllo tre domande: 1. Di quali dati viene eseguito il backup? 2. Dove sono archiviate le copie di backup? 3. Il team può ripristinare i dati e confermare che funzioni? Un backup archiviato accanto al sistema principale potrebbe andare perso durante lo stesso incendio, alluvione o evento energetico. Una posizione separata può ridurre tale rischio. Alcune organizzazioni utilizzano anche copie offline o isolate per limitare i danni derivanti dal ransomware. Un utile test di recupero inizia con un servizio specifico. Ad esempio, il team può ripristinare un database di clienti in un ambiente pulito, controllare i record chiave, connettere l'applicazione e registrare la durata di ogni passaggio. Un processo di backup riuscito non dimostra che il ripristino funzionerà. I file potrebbero essere incompleti, potrebbero mancare chiavi di crittografia oppure l'applicazione potrebbe dipendere da un altro sistema non incluso nel piano di backup. Preferisco passaggi di ripristino scritti con proprietari nominati. Durante un incidente, le persone non dovrebbero aver bisogno di indovinare chi approva un arresto, chi contatta i clienti o chi controlla i dati ripristinati. ## Le procedure del personale modellano la risposta La tecnologia non prende decisioni da sola. Le persone decidono se isolare un segmento di rete, spostare i carichi di lavoro, spegnere le apparecchiature o chiamare un fornitore di servizi. Un piano pratico per gli incidenti dovrebbe definire: - Chi riceve il primo avviso - Chi ha l'autorità per agire - Come i team tecnici condividono gli aggiornamenti - Come vengono informati i clienti - Dove sono archiviati i record degli incidenti - Quando contattare il supporto esterno - Come il team rivede l'evento in seguito Il piano dovrebbe coprire qualcosa di più degli attacchi informatici. Può includere incendi, perdite d'acqua, perdite di raffreddamento, interruzioni di corrente, intrusioni fisiche ed errori durante la manutenzione. Raccomando esercitazioni brevi con uno scopo chiaro. Un trapano può testare il trasferimento di un generatore. Un altro potrebbe testare il ripristino di un database critico. Un terzo potrebbe esaminare il modo in cui il team gestisce un account amministratore compromesso. Dopo ogni esercizio, registro cosa ha funzionato e cosa ha causato un ritardo. Una procedura che esiste solo in un documento potrebbe non essere d'aiuto durante un evento stressante. ## Il rischio di terze parti merita un'attenzione diretta Molti data center dipendono da operatori Internet, piattaforme cloud, fornitori di sicurezza, fornitori di carburante, produttori di apparecchiature e appaltatori di manutenzione. Esamino: - Quali fornitori supportano i sistemi critici - Cosa succede se un fornitore non è disponibile - Come viene approvato e rimosso l'accesso del fornitore - Se i contatti del servizio sono aggiornati - Quali opzioni di backup esistono - Come i fornitori segnalano incidenti di sicurezza o di servizio Un fornitore può avere il proprio programma di sicurezza, ma la mia responsabilità non finisce qui. Devo ancora capire come il suo fallimento influenzerebbe i miei sistemi. Ad esempio, se un operatore di rete gestisce tutto il traffico esterno, un'interruzione dell'operatore potrebbe disconnettere i clienti anche quando i server e i sistemi di alimentazione rimangono integri. Un secondo operatore può ridurre questo singolo punto di guasto, sebbene aggiunga anche lavoro di configurazione e monitoraggio. ## Un semplice processo di revisione Utilizzo questa sequenza durante la revisione della sicurezza del data center: 1. Elencare i servizi che devono rimanere disponibili. 2. Mappare i sistemi, le persone, i fornitori e le strutture che li supportano. 3. Identificare un errore che potrebbe influire su ciascun servizio. 4. Verificare se i controlli possono prevenire il guasto. 5. Verificare se il monitoraggio è in grado di rilevare il guasto. 6. Confermare che il personale sappia come rispondere. 7. Testare il recupero con un esercizio pratico. 8. Registrare le lacune, assegnare i proprietari e impostare le date di revisione. Questo processo mantiene la revisione collegata alle esigenze aziendali. Una piccola applicazione interna potrebbe richiedere un livello di protezione diverso rispetto a una piattaforma di pagamento o un sistema sanitario. I controlli corretti dipendono dai dati, dagli impegni di servizio e dal possibile impatto di un'interruzione. Separo anche la prevenzione dal recupero. La soppressione degli incendi può ridurre il rischio di perdita delle apparecchiature. Un backup testato può aiutare a ripristinare il servizio dopo che si è verificata una perdita. Entrambi appartengono al piano. ## Segnali che indicano che un data center necessita di una revisione più approfondita Considero questi segnali come motivi per porre più domande: - Le autorizzazioni di accesso non sono state riviste - I report di backup mostrano successo, ma non esiste alcun test di ripristino - Una persona sa come utilizzare il generatore o il sistema di raffreddamento - L'amministrazione remota utilizza account condivisi - I diagrammi di rete sono obsoleti - I messaggi di avviso vengono inviati a indirizzi e-mail inattivi - I fornitori mantengono l'accesso al termine della manutenzione - I contatti di emergenza non sono stati controllati - Il personale non ha mai messo in pratica una risposta agli incidenti - I sistemi critici dipendono da un'unica alimentazione, rete o percorso di archiviazione Questi I problemi non dimostrano che una struttura non sia sicura. Mostrano dove una revisione può produrre risultati utili. La sicurezza del data center non è un singolo prodotto o una singola lista di controllo. Lo considero un sistema funzionante che combina accesso controllato, alimentazione affidabile, raffreddamento gestito, account sicuri, backup testati, personale qualificato e chiara supervisione del fornitore. Quando chiedo: “Quanto è sicuro il tuo data center?”, non mi aspetto un semplice sì o no. Cerco prove: registri attuali, procedure testate, proprietà chiara e risultati di ripristino. Diventa più facile fidarsi di una struttura quando le sue misure di sicurezza funzionano durante un test, non solo durante una giornata di routine.

Quando esamino la sicurezza dei data center, non inizio con telecamere, firewall o un lungo elenco di certificazioni. Comincio dai numeri. Quante persone sono entrate nel sito il mese scorso? Quante richieste di accesso sono state negate? Quanto tempo è necessario per rimuovere le autorizzazioni di un ex dipendente? Quanti avvisi di sicurezza sono stati esaminati da una persona? Queste cifre mostrano se un programma di sicurezza funziona nelle operazioni quotidiane, non solo sulla carta. Un data center può essere dotato di serrature robuste e strumenti di monitoraggio avanzati, ma può comunque essere esposto a rischi quando i record di accesso sono incompleti, gli allarmi vengono ignorati o i sistemi di backup non vengono testati. ## Inizia con i numeri di accesso fisico L'accesso fisico rimane una parte fondamentale della sicurezza del data center. Una password rubata può aprire un sistema. Un visitatore incontrollato può raggiungere apparecchiature, cavi di rete o supporti di memorizzazione. Normalmente esamino queste cifre: - Numero di dipendenti con accesso al sito - Numero di appaltatori con accesso temporaneo - Ingressi dei visitatori e record di scorta - Scansioni di badge non riuscite - Avvisi di tailgating - Diritti di accesso rimossi dopo cambiamenti di personale - Tempo medio necessario per disabilitare un badge smarrito - Numero di porte lasciate aperte oltre il periodo approvato Un rapporto di accesso utile dovrebbe mostrare più del numero totale di ingressi. Dovrebbe collegare ogni voce a una persona, un'ora, una porta e un motivo approvato. Ad esempio, un appaltatore può avere il permesso di entrare in un'area di carico tra le 9:00 e le 17:00. Se lo stesso badge apre una sala server alle 23:30, il sistema dovrebbe creare un avviso e il team di sicurezza dovrebbe esaminarlo. Controllo anche se l'accesso viene rivisto secondo un programma fisso. Un badge approvato due anni fa potrebbe non corrispondere più al ruolo della persona. ## Misurare il controllo dell'identità e delle autorizzazioni Molti incidenti nei data center iniziano con un accesso eccessivo. Un utente può mantenere le autorizzazioni dopo aver cambiato reparto. Un account fornitore può rimanere attivo al termine di un progetto. Un amministratore può utilizzare un accesso condiviso per più persone. I numeri che cerco includono: - Percentuale di account che utilizzano l'autenticazione a più fattori - Numero di account inattivi - Numero di account condivisi - Tempo necessario per rimuovere l'accesso - Numero di utenti con privilegi di amministratore - Tentativi di accesso non riusciti per sistema e posizione - Account fornitore con date di scadenza definite - Percentuale di sistemi coperti da revisioni degli accessi Un obiettivo pratico non è "dare a tutti una maggiore protezione". Si tratta di dare a ciascuno solo l'accesso necessario per il lavoro assegnato. Ad esempio, un tecnico del sistema di raffreddamento potrebbe aver bisogno di accedere ai controlli ambientali. Ciò non significa che la stessa persona dovrebbe avere il permesso di modificare le regole del firewall o recuperare i dati dei clienti. Preferisco cicli di revisione brevi per gli account con privilegi elevati. La revisione dovrebbe confermare chi possiede l'account, perché esiste l'autorizzazione, quando scade e se l'attività recente corrisponde al ruolo dell'utente. ## Tieni traccia degli avvisi di sicurezza in base al tempo di risposta Un avviso ha un valore limitato se nessuno lo esamina. I data center creano avvisi da sistemi di badge, telecamere, firewall, server, sensori ambientali e strumenti endpoint. Un numero elevato di avvisi non sempre significa una sicurezza elevata. Misuro: - Numero di avvisi ricevuti - Numero di avvisi confermati come validi - Numero di falsi positivi - Tempo medio per riconoscere un avviso - Tempo medio per contenere un evento confermato - Numero di avvisi senza proprietario - Numero di eventi ripetuti dopo un avviso - Numero di incidenti chiusi senza una causa documentata Il tempo di risposta dovrebbe essere misurato durante l'intero processo. Un team può riconoscere un avviso entro cinque minuti, ma impiega diverse ore per contenere l’account o il dispositivo interessato. Confronto anche il volume degli allarmi con i livelli del personale. Se un analista riceve migliaia di avvisi giornalieri, il team potrebbe aver bisogno di filtri migliori, regole di escalation più chiare o di più persone durante i periodi ad alto rischio. Un semplice report può mostrare la differenza: - Avviso ricevuto: 10:02 - Avviso rivisto: 10:08 - Account disabilitato: 10:15 - Causa principale identificata: 13:40 - Recupero completato: 15:10 Questo formato aiuta i manager a vedere dove si perde tempo. ## Controlla le prestazioni di backup e ripristino La pianificazione della sicurezza dovrebbe includere il ripristino dei dati. Ransomware, guasti hardware, cancellazioni accidentali ed eventi di alimentazione possono influenzare la stessa struttura. Ho esaminato queste cifre: - Tasso di completamento del backup - Numero di processi di backup non riusciti - Età del backup più vecchio riuscito - Percentuale di sistemi critici coperti - Tempo di ripristino raggiunto durante i test - Punto di ripristino raggiunto durante i test - Numero di copie di backup archiviate separatamente - Numero di test di ripristino completati - Numero di backup protetti dall'eliminazione dell'account Un backup che non è mai stato ripristinato è una supposizione, non una prova di ripristino. Nel 2021, l'attacco ransomware a Rackspace ha colpito i servizi Microsoft Exchange ospitati e ha costretto i clienti a passare a soluzioni di posta elettronica alternative. I resoconti pubblici sull'evento hanno mostrato perché i piani di ripristino, la comunicazione con i clienti e la continuità del servizio devono essere testati prima che si verifichi un incidente. La lezione non è che un prodotto o un fornitore sia sempre pericoloso. La lezione è che il ripristino dipende dalla preparazione, da una proprietà chiara e da copie funzionanti dei dati. Chiedo ai team di testare un campione di sistemi critici invece di riportare solo una percentuale di backup a livello aziendale. Una percentuale di backup del 98% può sembrare elevata, ma il 2% mancante potrebbe contenere i sistemi che supportano l'autenticazione, la fatturazione o le operazioni della struttura. ## Misurare l'applicazione di patch e la visibilità delle risorse Un team di un data center non può proteggere apparecchiature di cui non sa l'esistenza. L'elenco delle risorse dovrebbe includere server, switch, sistemi di storage, interfacce di gestione, sensori, fotocamere, laptop, macchine virtuali e dispositivi di terze parti. Confronto l'inventario delle risorse con le scansioni di rete e i record di acquisto. Le misure utili includono: - Percentuale di risorse con un proprietario noto - Percentuale di risorse con una posizione registrata - Numero di sistemi non supportati - Numero di patch critiche in attesa di approvazione - Età media delle vulnerabilità aperte - Tempo tra il rilascio della patch e la distribuzione - Numero di dispositivi fuori dalla copertura di monitoraggio - Numero di dispositivi sconosciuti trovati sulla rete I dati relativi alle patch necessitano di contesto. Una patch potrebbe richiedere un test perché può influenzare un servizio di produzione o un sistema di controllo. Una patch ritardata dovrebbe avere un proprietario, un motivo, una protezione temporanea e una data di revisione pianificata. Presto molta attenzione alle interfacce di gestione. Questi sistemi possono controllare server, storage o apparecchiature di rete. Non dovrebbero essere esposti all’Internet pubblica senza una chiara ragione commerciale e controlli rigorosi. ## Testare le persone, non solo la tecnologia Gli strumenti di sicurezza non possono sostituire il personale qualificato. Voglio sapere se i dipendenti e gli appaltatori capiscono cosa fare quando un badge non funziona, suona un allarme o una persona sconosciuta richiede l'accesso. Traccio: - Tasso di completamento della formazione - Numero di registrazioni di formazione scadute - Tempo necessario per segnalare un sospetto incidente - Risultati degli esercizi di controllo degli accessi - Numero di personale in grado di spiegare il processo di escalation - Registrazioni di formazione degli appaltatori - Lezioni registrate dopo le esercitazioni Un esercizio utile può comportare la perdita di un badge, un visitatore non autorizzato o un sospetto avviso di malware. L’obiettivo è testare la comunicazione e il processo decisionale, non incolpare un lavoratore. Ad esempio, una guardia può fermare un visitatore il cui nome non è presente nell'elenco approvato. La domanda successiva è se la guardia sa chi può confermare l'identità del visitatore e come viene registrata tale decisione. ## Controlla l'accesso di fornitori e terze parti I fornitori spesso necessitano di accesso fisico o remoto. Tale accesso dovrebbe apparire negli stessi rapporti sulla sicurezza dell'accesso dei dipendenti. Controllo: - Numero di account fornitore attivi - Account fornitore senza data di fine - Sessioni remote per fornitore - Comandi o modifiche apportate durante ogni sessione - Numero di revisioni di accesso fornitore - Incidenti di sicurezza collegati a terze parti - Tempo necessario per rimuovere l'accesso fornitore dopo la scadenza di un contratto Le sessioni di supporto remoto devono essere registrate e collegate a un ticket. Un fornitore non dovrebbe utilizzare un account condiviso quando sono disponibili account individuali. Il contratto dovrebbe anche spiegare come vengono segnalati gli eventi di sicurezza, quali registri vengono conservati, come viene rimosso l'accesso e come vengono gestiti le apparecchiature o i dati sensibili al termine del servizio. ## Costruisci una scorecard sulla sicurezza che le persone possano utilizzare Una buona scorecard è sufficientemente breve per una riunione mensile. Di solito raggruppo i numeri in cinque aree: Accesso fisico - Tentativi di accesso non autorizzati - Tempo di rimozione del badge - Qualità del record dei visitatori Identità - Copertura dell'autenticazione a più fattori - Stato di revisione dell'account privilegiato - Conteggio degli account inattivi Tecnologia - Durata della patch critica - Conteggio delle risorse sconosciute - Copertura del monitoraggio Risposta - Tempo di riconoscimento dell'avviso - Tempo di contenimento - Incidenti senza un proprietario assegnato Ripristino - Completamento del backup - Risultati dei test di ripristino - Sistemi che soddisfano gli obiettivi di ripristino Richiesti da ciascuna figura un proprietario chiaro e un metodo di misurazione definito. Un numero senza una fonte può creare un falso senso di controllo. Evito anche di giudicare un team di sicurezza in base a un parametro. Un numero di avvisi inferiore può significare un filtraggio migliore o potrebbe significare che uno strumento di monitoraggio ha interrotto l'invio di dati. Un numero elevato di scansioni di badge bloccate può indicare un controllo elevato o potrebbe indicare una scarsa amministrazione degli accessi. La domanda utile è: cosa è cambiato, perché è cambiato e quale azione segue? La sicurezza del data center diventa più facile da gestire quando il rischio è visibile attraverso numeri affidabili. Guardo chi può entrare, a cosa può accedere, la velocità con cui il team risponde, se i backup possono essere ripristinati e quali lacune rimangono aperte. L'obiettivo non è raccogliere il rapporto più grande. L'obiettivo è collegare ciascun numero a una decisione. Quando un team può spiegare i dati, assegnare responsabilità e testare i risultati, la sicurezza diventa parte delle operazioni quotidiane anziché un documento rivisto solo dopo un incidente. Contattaci su Yonglin Wang: 13382583527@gmail.com/WhatsApp +8613382583527.

Riferimenti National Institute of Standards and Technology - settembre 2020 - Controlli di sicurezza e privacy per sistemi e organizzazioni informatiche SP 800-53 Revisione 5 National Institute of Standards and Technology - maggio 2010 - Guida alla pianificazione di emergenza per i sistemi informativi federali SP 800-34 Revisione 1 Cybersecurity and Infrastructure Security Agency - marzo 2023 - Cybersecurity Performance Goals Uptime Institute - giugno 2023 - Global Data Center Survey 2023 Verizon - Aprile 2024 - Report 2024 sulle indagini sulla violazione dei dati IBM Security - Luglio 2024 - Costo di un report 2024 sulla violazione dei dati