Cloud privato.

Una delle domande che tanta gente ci chiede è:

E’ una cattiva idea salvare documenti aziendali su Dropbox?

Oppure: Va bene memorizzare i dati della mia organizzazione su servizi Saas di tipo ‘cosumer’ come Dropbox, Google Drive o Microsoft Office 365? Ci sono molte ragioni per le quali non dovremmo usare questi strumenti per condividere e memorizzare i nostri dati aziendali (o privati) – di seguito una panoramica delle motivazioni che consideriamo più importanti.

Nessun controllo sull’accesso ai dati

Quando condividiamo un link via email verso un Saas pubblico (come ad esempio Dropbox), ogni persona che può vedere o mettere mano a questo link, può potenzialmente accedere al file o ai dati che abbiamo condiviso. Se un’email con un link pubblico ad uno di questi cloud Saas è intercettata o inoltrata, noi non abbiamo più nessun controllo su chi può vedere i dati che abbiamo condiviso tramite collegamento. Con il File Access Control di Nextcloud, possiamo essere sicuri che la rosa di indirizzi IP al di fuori della nostra rete aziendale, non possa avere accesso a files o cartelle se non vogliamo che queste vengano condivise con terze parti.  Il punto chiave è: gli amministratori di rete non hanno più il controllo. Al contrario i collaboratori e gli impiegati si. Questo è un grosso problema di responsabilità legale, anche se ci fidiamo completamente dei nostri collaboratori, se rispettiamo in modo scrupoloso le policy aziendali ed agiamo al 100% in modo responsabile riguardo la sicurezza (ad esempio adottando password complesse).

Dove sono i nostri dati?

Quando ci preoccupiamo della privacy degli utenti, o semplicemente vogliamo mantenere requisiti di conformità, è essenziale conoscere per poter scegliere dove andiamo a memorizzare i nostri dati. Questo è estremamente importante soprattutto in Europa, per esempio, dove tutte le aziende che trattano dati che possono identificare una persona, devono essere conformi al GDPR a partire dal mese di maggio del 2018. Le sanzioni per ciascun incidente possono raggiungere i 20 milioni o il 4% degli utili aziendali annuali.

Quando dobbiamo decidere dove salvare i nostri dati, scegliere un’azienda basandosi solo sulla sua sede legale non è sufficiente. Infatti quello che conta sono anche le dislocazioni geografiche dei server. E dobbiamo poter scegliere bene perchè in alcune nazioni, i relativi governi possono ordinare l’accesso ai dati su tutti i server collocati nel loro territorio. Per esempio, un’azienda americana potrebbe avere i propri server collocati in Cina, dove i data center sono molto economici, senza l’obbligo di comunicarci questo dato. Il governo cinese potrebbe quindi far valere il proprio potere sulla società americana a causa di filiali nel suo paese, facendo rispettare le sue politiche, incluso l’accesso ai dati dei server per svairati motivi come lo spionaggio industriale.

In questi casi, potremmo infrangere le regole e la conformità senza nemmeno esserne a conoscenza e arrivare ad essere anche sanzionati. E’ possibile approfondire l’argomento sulla conformità di Nextcloud al GDPR qui.

Un singolo punto di rottura

Tante aziende, usano lo storage on-line fornito da alcune grosse multinazionali. Questo significa che un sacco di dati importanti sono concentrati su server di poche grosse società. Questi in gergo sono chiamati “single points of failure” (singoli punti di rottura). Naturalmente questi server sono uno dei bersagli più ambiti da hackers o attackers di ogni tipo. E se una di queste grosse società viene ‘bucata’, tutte le persone e le aziende che dipendono dai suoi servizi devono metterne in conto le conseguenze.

Anche se i team dedicati alla security di queste grosse società sono molto competenti e preparati, questi avranno a che fare con un crescente numero di attacchi, man mano che i server aumentano il potenziale valore che custodiscono. Al contrario, gestendo internamente alla nostra azienda tutta o parte dell’infrastruttura, come ad esempio è possibile fare con Nextcloud, riduciamo di parecchio il rischio di essere compromessi da attacchi hacker: un grande vantaggio della decentralizzazione dei dati, esattamente il principio con cui è stato progettato Internet.

E la decentralizzazione ha altri benefici.  more benefit. Ci sono un sacco di server Nextcloud utilizzati nel mondo e ciascuno con le sue protezioni progettate per adattarsi alle differenti situazioni. Il Bundescloud del Governo Federale Tedesco è isolato e protetto da un potente sistema firewall e tutte le installazioni Nextcloud possono adottare questi livelli di sicurezza – e buona fortuna se volessimo adottare questo tipo di approccio con un cloud pubblico come Dropbox, Google Drive o MS Office 365! La città di Ginevra usa una sofisticata rete di reverse proxy per controllare esattamente quali delle funzionalità di Nextcloud possono usare gli utenti esterni – niente passa all’esterno che non sia esplicitamente consentito in precedenza dai responsabili IT.

Perciò, una soluzione di tipo self-hosted (cioè installata in azienda ma con erogazione di servizi cloud) è molto più sicura rispetto ad un corrispondente servizio ospitato su cloud pubblico, semplicemente perchè con la prima è possibile restringere l’accesso ad una rosa di indirizzi IP conosciuti e perchè ogni server può essere dotato di altre protezioni dedicate. La sicurezza complessiva è molto più elevata diversificando e distribuendo in rete le risorse.

Non sappiamo cosa succede ai dati

Quando ci affidiamo a software proprietario, è molto difficile sapere con esattezza cosa questo software faccia sui nostri dati. Potemmo fare girare utility di tipo spyware sui computer aziendali o il servizio che gestisce i nostri dati potrebbe contenere delle back doors. Immaginiamo di avere un nostro armadietto di sicurezza in una palestra con le relative chiavi. Ora immaginiamo che il proprietario della palestra abbia una chiave ‘master’ che può aprire tutti gli armadietti. E’ la stessa cosa con le back doors: la società o il servizio cui affidiamo i nostri dati potrebbe nascondere un modo per accedere ai nostri dati privati e confidenziali proprio nel servizio che ci sta erogando.

Naturalmente questa non è la regola – ci sono molti modi di offrire servizi di storage gratuiti senza vendere i dati degli utenti. In ogni caso, è un fatto che alcune grosse aziende, incluse quelle che offrono servizi Saas su cloud pubblici, siano anche nel business della vendita dei dati e noi preferiamo evitare questi servizi quando si tratta dei nostri dati o di quelli dei nostri clienti.

E’ tutto nel controllo

Per finire, è tutto nel controllo. Con i servizi Saas pubblici, non ne abbiamo molto. Promesse certo, e anche certificazioni. Ma nessuna garanzia. Il self-hosting (sia nel proprio datacenter o sulla rete locale) continua ad essere il modo più elegante di rimanere in perfetto controllo sui dati aziendali critici e sensibili e Nextcloud fornisce esattamente questo.