Panoramica sulla sicurezza

Quali risorse è necessario proteggere?

• Dati dei clienti, ad esempio numeri di carta di credito
• Dati interni, ad esempio codice sorgente proprietario
• Componenti di sistema (protetti da attacchi esterni o sovraccarichi di sistema intenzionali)

Da chi stai proteggendo i dati?

Analizzare i flussi di lavoro per determinare chi deve accedere ai dati. Ad esempio, è necessario proteggere i dati degli abbonati da altri abbonati, ma qualcuno nella propria organizzazione deve accedere a tali dati per gestirli.

Considerare con attenzione la quantità di accesso da concedere a un amministratore di sistema. Un amministratore di sistema potrebbe essere in grado di gestire i componenti di sistema senza dover accedere ai dati di sistema.

Cosa succede se le protezioni su una risorsa strategica non riescono?

A volte, un errore nello schema di sicurezza è solo un inconveniente. In altri casi, un errore potrebbe danneggiare te o i tuoi clienti. Per proteggere ogni risorsa, è necessario comprenderne le ramificazioni in termini di sicurezza.

Identity and Access Management (IAM)

Sei responsabile della protezione delle credenziali di accesso al cloud e dell'impostazione di singoli account utente. Si è inoltre responsabili della gestione e della revisione dell'accesso per i propri account dipendente e per tutte le attività che si verificano nella tenancy.

Oracle è responsabile della fornitura di servizi IAM efficaci quali la gestione delle identità, l'autenticazione, l'autorizzazione e l'audit.

Sicurezza dei carichi di lavoro

Sei responsabile della protezione e della protezione dei livelli del sistema operativo e delle applicazioni delle tue istanze di computazione da attacchi e compromessi. Questa protezione include l'applicazione di patch alle applicazioni e ai sistemi operativi, la configurazione dei sistemi operativi e la protezione da malware e attacchi di rete.

Oracle è responsabile della fornitura di immagini sicure protette e con le patch più recenti. Oracle ti consente anche di utilizzare le stesse soluzioni di sicurezza di terze parti che già utilizzi on-premise.

Classificazione e conformità dei dati

Sei responsabile della corretta classificazione e etichettatura dei tuoi dati e del rispetto di eventuali obblighi di conformità. Sei anche responsabile dell'audit delle tue soluzioni per assicurarti che soddisfino i tuoi obblighi di conformità.

Sicurezza dell'infrastruttura host

Sei responsabile della configurazione e della gestione sicure dei servizi di computazione (host virtuali, container), storage (oggetto, file, storage locale, volumi a blocchi) e piattaforma (configurazione del database).

Oracle condivide la tua responsabilità per garantire che il servizio sia configurato e protetto in modo ottimale. Questa responsabilità include la sicurezza dell'hypervisor e la configurazione delle autorizzazioni e dei controlli dell'accesso alla rete.

Sicurezza della rete

Sei responsabile della configurazione sicura di elementi di rete come la rete virtuale, il bilanciamento del carico, il DNS e i gateway. Assicurarsi che gli host possano comunicare correttamente e che i dispositivi possano collegare o installare i dispositivi di storage corretti.

Oracle è responsabile della fornitura di un'infrastruttura di rete sicura. La protezione L3/4 DDoS è inclusa in tutti gli account Oracle Cloud Infrastructure e non sono necessarie configurazioni o monitoraggio.

Protezione client ed endpoint

La tua azienda utilizza vari sistemi hardware e software, come dispositivi mobili e browser, per accedere alle tue risorse cloud. Sei responsabile della protezione di tutti i client e gli endpoint che permetti di accedere ai servizi OCI.

Sicurezza fisica

Oracle è responsabile della protezione dell'infrastruttura globale che esegue i servizi offerti in OCI. Questa infrastruttura è costituita da hardware, software, rete e strutture.

Cultura della sicurezza

Una cultura incentrata sulla sicurezza è fondamentale per creare un'organizzazione incentrata sulla sicurezza. Tutti i membri del team OCI comprendono il ruolo che la sicurezza svolge nella nostra azienda e sono attivamente impegnati nella gestione e nel miglioramento del livello di sicurezza dei nostri prodotti. Abbiamo anche implementato i seguenti meccanismi per aiutarci a creare e mantenere una cultura consapevole della sicurezza:

• Leadership orientata alla sicurezza: la leadership senior è attivamente coinvolta nella pianificazione, nel monitoraggio e nella gestione della sicurezza. Definiamo e misuriamo noi stessi rispetto alle metriche di sicurezza e includiamo la sicurezza come componente nei processi di valutazione del team.
• Embedded Expertise: I membri del team di sicurezza lavorano a stretto contatto con i team di sviluppo del prodotto. Questo approccio consente alla nostra organizzazione di sicurezza di costruire una profonda comprensione dei processi di sviluppo del prodotto e delle architetture di sistema. Questo approccio aiuta inoltre i team a risolvere rapidamente le sfide della sicurezza e a promuovere iniziative di sicurezza in modo più efficace.
• Standard di sicurezza comuni: integriamo la sicurezza nei nostri prodotti e nelle nostre operazioni. Ad esempio, stabiliamo una baseline degli standard di sicurezza. Questa linea di base fornisce un unico punto di riferimento per la sicurezza e stabilisce linee guida chiare e attuabili. Aggiorniamo frequentemente questa base per incorporare lezioni apprese e riflettere i fattori di business emergenti. Creiamo anche materiali di supporto per aiutare i nostri team a implementare i controlli di sicurezza. Questi materiali includono architetture di riferimento, guide all'implementazione e accesso agli esperti di sicurezza.
• Apertura, dibattito costruttivo e escalation incoraggiata: i problemi di sicurezza possono essere affrontati solo quando le persone che possono risolverli ne sono consapevoli. Incoraggiamo l'escalation e lavoriamo per creare un ambiente in cui sollevare i problemi in anticipo e spesso viene premiato.
• Consapevolezza della formazione sulla sicurezza: manteniamo efficaci programmi di formazione sulla sicurezza e la consapevolezza che rafforzano la nostra cultura della sicurezza. Abbiamo bisogno di sessioni di formazione approfondite sulla sicurezza per tutti i nuovi dipendenti e di corsi di aggiornamento annuali. Forniamo anche una formazione sulla sicurezza personalizzata in base a ruoli lavorativi specifici. Tutti i nostri sviluppatori software partecipano a una formazione di sviluppo sicura che stabilisce i requisiti di sicurezza di base per lo sviluppo dei prodotti e fornisce best practice. Forniamo anche forme coinvolgenti e innovative di formazione sulla sicurezza, come relatori ospiti e forum interattivi.

Progettazioni e controlli di sicurezza

Integriamo la sicurezza nei nostri prodotti e nelle nostre operazioni cloud attraverso una metodologia centralizzata. Questa metodologia definisce il nostro approccio per diverse aree di sicurezza di base, e insieme queste aree costituiscono la base di sicurezza da cui costruiamo i nostri prodotti. Questo approccio ci aiuta ad applicare le best practice e le lezioni apprese da un prodotto in tutta l'azienda, aumentando così la sicurezza di tutti i nostri prodotti.

• Autenticazione utente e controllo dell'accesso: viene utilizzato un approccio con privilegi minimi per concedere l'accesso ai sistemi di produzione. Gli elenchi approvati dei membri del team di servizio vengono periodicamente rivisti per revocare l'accesso quando la necessità non può essere giustificata. L'accesso ai sistemi di produzione richiede anche l'autenticazione a più fattori (MFA). Il team di sicurezza concede token MFA e i token dei membri inattivi sono disabilitati. Tutti gli accessi ai sistemi di produzione vengono registrati e i log vengono memorizzati per l'analisi della sicurezza.
• Gestione dei cambiamenti: seguiamo un rigoroso processo di gestione e distribuzione delle modifiche che utilizza strumenti proprietari di test e distribuzione. Tutte le modifiche implementate nel nostro ambiente di produzione vengono testate e approvate prima del rilascio. Questo processo garantisce che le modifiche funzionino come previsto e che sia possibile eseguire il rollback a uno stato precedente per recuperare in modo normale da bug o problemi operativi. Monitoriamo anche l'integrità delle configurazioni di sistema critiche per garantire che si allineino allo stato previsto.
• Gestione della vulnerabilità: utilizziamo team interni di test di penetrazione ed esperti esterni del settore per aiutarci a identificare potenziali vulnerabilità nei nostri prodotti. Questi esperti ci aiutano a migliorare la sicurezza dei nostri prodotti e lavoriamo per incorporare le lezioni che apprendiamo nel nostro futuro lavoro di sviluppo. Scansioniamo periodicamente gli host OCI per rilevare le vulnerabilità utilizzando scanner standard del settore. Determiniamo se i risultati della scansione si applicano all'ambiente OCI e i team di prodotto applicano le patch richieste in base alle esigenze.
• Risposta agli incidenti: abbiamo processi e meccanismi efficaci che ci consentono di rispondere agli incidenti e di risolverli quando si verificano. I team di risposta agli incidenti sono pronti a rilevare e rispondere agli eventi 24/7. I membri critici del personale trasportano dispositivi di paging in modo da poter fare appello alle competenze necessarie per risolvere i problemi.

  Abbiamo anche un processo per aiutarci a imparare dai nostri incidenti. Eseguiamo l'analisi della causa principale attraverso il nostro processo di azione correttiva / azione preventiva (CAPA). Le CAPA ci aiutano a scoprire le lacune e i cambiamenti che possiamo apportare dopo un incidente. I CAPA sono un linguaggio comune che possiamo utilizzare per riflettere su un problema e acquisire passi per migliorare la disponibilità operativa futura. Le CAPA contengono la causa principale di un problema, ciò che è necessario per contenere o risolvere il problema e quali misure dobbiamo adottare per garantire che il problema non si ripresenti. Il nostro team di leadership esamina tutte le CAPA, cerca applicazioni tra organizzazioni per le lezioni apprese e garantisce che le azioni vengano implementate in modo tempestivo.

• Registrazione e monitoraggio della sicurezza: nell'infrastruttura sono disponibili meccanismi automatici per la registrazione di eventi rilevanti per la sicurezza (ad esempio chiamate API ed eventi di rete) e per il monitoraggio dei log per rilevare comportamenti anomali. Il team di sicurezza tiene traccia e testa gli avvisi generati dai meccanismi di monitoraggio.
• Sicurezza di rete: per impostazione predefinita, le comunicazioni con i servizi OCI utilizzano le cifrature e la configurazione TLS (Transport Layer Security) più recenti per proteggere i dati dei clienti in transito e per prevenire eventuali attacchi MITM (man-in-the-middle). Come ulteriore difesa, i comandi dei clienti ai servizi vengono firmati digitalmente utilizzando chiavi pubbliche per evitare manomissioni. I servizi implementano inoltre strumenti e meccanismi leader del settore per mitigare gli attacchi di tipo DDoS (Distributed Denial of Service) (DDoS) e mantenere alta disponibilità.
• Sicurezza del piano di controllo: gli host backend (piano di controllo) OCI sono isolati in modo sicuro dalle istanze dei clienti mediante le liste di controllo dell'accesso di rete (ACL, Network Access Control List). Le istanze vengono sottoposte a provisioning e gestite da agenti software che devono interagire con gli host backend. Solo gli agenti software autenticati e autorizzati possono interagire correttamente con questi host backend. Per questi host, gli ambienti di pre-produzione (ad esempio, sviluppo, test e integrazione) sono separati dagli ambienti di produzione in modo che qualsiasi attività di sviluppo e test non influisca sui sistemi di produzione.
• Sicurezza dei server e gestione dei media: il nostro team di sicurezza hardware è responsabile della progettazione e del test della sicurezza dell'hardware utilizzato per fornire servizi OCI. Questo team lavora con la nostra supply chain e testa i componenti hardware per convalidarli in base a rigorosi standard di sicurezza hardware OCI. Questo team lavora anche a stretto contatto con le nostre funzioni di sviluppo dei prodotti per garantire che l'hardware possa essere restituito a uno stato incontaminato e sicuro dopo che i clienti hanno rilasciato l'hardware.
• Cancellazione sicura degli host e distruzione dei supporti: le istanze OCI vengono eliminate in modo sicuro dopo che i clienti hanno rilasciato l'hardware. Questa cancellazione sicura ripristina l'hardware in uno stato incontaminato. Abbiamo riprogettato la piattaforma con componenti hardware proprietari che ci permettono di pulire e reinizializzare l'hardware in modo sicuro. Quando l'hardware sottostante ha raggiunto la fine del ciclo di vita, l'hardware viene distrutto in modo sicuro. Prima di lasciare i nostri data center, le unità vengono rese inutilizzabili utilizzando dispositivi di distruzione dei supporti leader del settore.

Sviluppo software sicuro

Lo sviluppo di software sicuro richiede metodologie applicate in modo coerente e conformi a chiari obiettivi e principi di sicurezza. Costruiamo pratiche di sicurezza in ogni elemento del nostro ciclo di vita di sviluppo dei prodotti. Abbiamo standard formali di sviluppo dei prodotti di sicurezza che sono una roadmap e una guida per gli sviluppatori. Questi standard discutono di aree informative generali sulla sicurezza, come i principi di progettazione e le vulnerabilità comuni, e forniscono linee guida specifiche su argomenti quali la convalida dei dati, la privacy dei dati e la gestione degli utenti.

I nostri standard di sviluppo dei prodotti sicuri si evolvono ed espandono nel tempo per affrontare i problemi comuni che riguardano il codice, le nuove minacce man mano che vengono scoperte e i nuovi casi d'uso da parte dei nostri clienti. Gli standard incorporano intuizioni e lezioni apprese; non vivono in isolamento, né sono un'aggiunta "dopo il fatto" allo sviluppo del software. Sono parte integrante di standard specifici del linguaggio come C/C++, Java, PL/SQL e altri e sono una pietra miliare dei nostri programmi e processi di sviluppo sicuri.

L'analisi e i test di sicurezza verificano le qualità di sicurezza dei nostri prodotti contro vari tipi di attacchi. Vengono utilizzate due grandi categorie di test: analisi statica e analisi dinamica. Questi test si adattano in modo diverso al ciclo di vita dello sviluppo del prodotto e in genere trovano diverse categorie di problemi, quindi vengono utilizzati insieme dai nostri team di prodotto.

Sicurezza del personale

Ci sforziamo di assumere il meglio e investiamo nei nostri dipendenti. Apprezziamo la formazione, richiediamo una formazione di base sulla sicurezza per tutti i nostri dipendenti e richiediamo anche una formazione specializzata per mantenere i nostri team informati sulle ultime tecnologie, exploit e metodologie di sicurezza. I nostri programmi annuali di formazione aziendale coprono i nostri programmi di sicurezza e privacy delle informazioni, tra molti altri. Ci impegniamo anche con vari gruppi del settore e inviamo i nostri dipendenti a conferenze specialistiche per collaborare con altri esperti del settore sulle sfide emergenti. Gli obiettivi dei nostri programmi di formazione sulla sicurezza sono di aiutare i nostri dipendenti a proteggere meglio i nostri clienti e prodotti, di consentire ai dipendenti di crescere nelle loro aree di conoscenza in materia di sicurezza e di promuovere la nostra missione di attirare e fidelizzare i talenti migliori.

Assumiamo persone con una forte etica e buon senso. I nostri dipendenti sono sottoposti a screening pre-impiego come consentito dalla legge, compresi controlli penali e convalida del precedente impiego. Utilizziamo anche processi di valutazione delle prestazioni del team e dei dipendenti per riconoscere le buone prestazioni e aiutare i nostri team e dipendenti a identificare le opportunità di crescita. La sicurezza è una componente dei processi di valutazione del nostro team. Questo approccio mostra le prestazioni dei team rispetto ai nostri standard di sicurezza e ci consente di identificare le best practice e le aree di miglioramento per i processi di sicurezza critici.

Sicurezza fisica

I data center Oracle Cloud Infrastructure sono progettati per la sicurezza e la disponibilità dei dati dei clienti. Questo design inizia con il nostro processo di selezione del sito. I siti di creazione dei candidati e le sedi dei fornitori sono sottoposti a un ampio processo di valutazione dei rischi. Questo processo considera, tra gli altri, i seguenti criteri: minacce ambientali, disponibilità e stabilità dell'alimentazione, reputazione e storia dei fornitori, funzioni delle strutture vicine (ad esempio, produzione ad alto rischio o obiettivi ad alta minaccia) e problemi geopolitici.

I data center OCI si allineano agli standard ANSI/TIA-942-A Tier 3 o Tier 4 dell'Uptime Institute and Telecommunications Industry Association (TIA) e seguono una metodologia di ridondanza N2 per il funzionamento delle apparecchiature critiche. I data center che ospitano i servizi OCI utilizzano fonti di alimentazione ridondanti e mantengono i backup dei generatori per prevenire interruzioni elettriche diffuse. Le sale server sono strettamente monitorate per la temperatura e l'umidità dell'aria e sono in atto sistemi di estinzione del fuoco. Il personale del data center viene formato nelle procedure di risposta agli incidenti e di escalation per gestire gli eventi di sicurezza o disponibilità che potrebbero verificarsi.

Il nostro approccio stratificato alla sicurezza fisica inizia con la costruzione del sito. Le strutture del data center sono costruite in modo duraturo con acciaio, cemento o materiali simili e sono progettate per resistere all'impatto di un veicolo leggero. I nostri siti sono dotati di guardie di sicurezza pronte a rispondere agli incidenti 24/7. L'esterno di ogni sito è fissato con barriere perimetrali e i veicoli sono attivamente monitorati da guardie e telecamere che coprono il perimetro dell'edificio.

Tutte le persone che entrano nei nostri data center devono prima passare attraverso la sicurezza agli ingressi del sito, che sono dotati di guardie di sicurezza. Le persone senza badge di sicurezza specifici del sito devono presentare un documento di identità emesso dal governo e avere una richiesta di accesso approvata che conceda loro l'accesso all'edificio del centro dati. Tutti i dipendenti e i visitatori devono sempre indossare distintivi di identificazione ufficiali visibili. Altre misure di sicurezza tra l'ingresso e le sale server variano a seconda della costruzione del sito e del profilo di rischio.

Le sale server del data center sono costruite con maggiore sicurezza, tra cui telecamere che coprono le sale server, controllo degli accessi a due fattori e meccanismi di rilevamento delle intrusioni. Le barriere fisiche sono in atto per creare zone di sicurezza isolate intorno ai rack server e di rete che si estendono dal pavimento (anche sotto il pavimento rialzato, se applicabile) al soffitto (anche sopra le piastrelle del soffitto, se applicabile).

L'accesso ai data center è attentamente controllato e segue un approccio di accesso meno privilegiato. Il personale autorizzato deve approvare tutti gli accessi alle sale server e l'accesso è concesso solo per il periodo necessario. L'uso dell'accesso viene controllato e la leadership del data center esamina periodicamente l'accesso di cui è stato eseguito il provisioning all'interno del sistema. Le sale server sono isolate in zone sicure gestite in base alle zone. L'accesso viene fornito solo per le zone richieste dal personale.

Operazioni di sicurezza

Il team Security Operations di Oracle Cloud Infrastructure è responsabile del monitoraggio e della protezione delle esclusive tecnologie di hosting e virtual networking OCI. Questo team lavora e forma direttamente con gli ingegneri Oracle che sviluppano queste tecnologie.

Monitoriamo quotidianamente le minacce emergenti alla sicurezza di Internet e implementiamo piani di risposta e difesa adeguati per affrontare i rischi per l'azienda. Quando stabiliamo che le modifiche urgenti sono raccomandate e rientrano nell'ambito delle responsabilità dei clienti, pubblichiamo bollettini di avviso di sicurezza a tali clienti per garantire la loro protezione.

Quando un problema di sicurezza rilevato o segnalato colpisce i server o le reti OCI, il personale delle operazioni di sicurezza è disponibile 24/7 per rispondere, eseguire l'escalation o intraprendere le azioni correttive necessarie. Se necessario, intensifichiamo e ci coordiniamo con parti esterne (inclusi provider di servizi di rete e hosting, fornitori di hardware o forze dell'ordine) per proteggere OCI, i nostri clienti e la sicurezza e la reputazione della nostra rete.

Quando il team Security Operations risponde a un problema di sicurezza, agisce in base al nostro processo documentato e tutte le azioni vengono registrate in base ai requisiti di conformità. Viene sempre prestata attenzione per proteggere gli obiettivi di integrità del servizio e dei dati, privacy e continuità aziendale.

Diritti e proprietà dei dati

I clienti di Oracle Cloud Infrastructure conservano tutti i diritti di proprietà intellettuale e di proprietà all'interno e ai contenuti. Ci sforziamo di essere trasparenti con i nostri processi di protezione dei dati e le richieste di applicazione della legge che potremmo ricevere.

Riservatezza dei dati

OCI offre funzionalità che aiutano i clienti ad allinearsi ai principi comuni sulla privacy dei dati. Consulta le funzioni sulla privacy di Oracle Cloud Infrastructure.

Richieste di applicazione della legge

Salvo quanto diversamente richiesto dalla legge, Oracle notifica tempestivamente ai clienti qualsiasi ordine di citazione in giudizio, amministrativo o arbitrale di un'agenzia esecutiva o amministrativa o di altra autorità governativa che riceve e che riguarda i dati personali che Oracle sta elaborando per conto del cliente. Su richiesta del cliente, Oracle fornisce ai clienti informazioni ragionevoli in suo possesso relative alla richiesta di applicazione della legge e qualsiasi assistenza ragionevolmente necessaria per rispondere alla richiesta in modo tempestivo.

conformità

Operiamo secondo pratiche in linea con il Codice di condotta ISO/IEC 27002 per i controlli di sicurezza delle informazioni, da cui abbiamo identificato un set completo di controlli di sicurezza applicabili alla nostra attività. Questi controlli di sicurezza e le nostre operazioni sono sottoposti ad audit esterni. Perseguiamo un'ampia gamma di certificazioni, audit e programmi normativi del settore e del governo. Vedere Compliance di Oracle Cloud.