Google Drive, iCloud, OneDrive e Dropbox sono servizi cloud sufficientemente sicuri per conservare anche documenti importanti, a patto che l’account utente sia protetto in modo adeguato.

Tuttavia, ci sono informazioni che gli esperti consigliano di tenere altrove. Queste, al contrario di quanto si possa credere, non sono per forza di cose dati sensibili quali una cartella clinica o una dichiarazione dei redditi, sono soprattutto dati che possono servire ad accedere ad altri account, a recuperare password o a decifrare altre informazioni.

Chi più chi meno, siamo avvezzi a salvare sul cloud le fotografie scattate con lo smartphone, copia delle bollette, documenti di lavoro e persino copie dei documenti di identità. Una comodità che spinge a non considerare la natura e la funzione dei dati che affidiamo alla nuvola.

Una copia di una cartella clinica, pure essendo molto riservata, rimane un documento. Una password, un codice di recupero o una chiave usata per decifrare un archivio sono qualcosa di diverso perché permettono a chi ne entra in possesso di farne qualcosa da qualche altra parte.

È su questa distinzione che insistono organizzazioni come la Cybersecurity and Infrastructure Security Agency (CISA), il National Institute of Standards and Technology (NIST) e il National Cyber Security Centre britannico. Il messaggio che si sforzano di fare passare è semplice. Nelle rispettive linee guida non demonizzano l’uso del cloud, spiegano come usarlo evitando che online finiscano i dati che non dovrebbero finirci.

Cosa è il cloud e quali vantaggi offre

Il cloud è un insieme di servizi accessibili tramite internet che permettono di archiviare dati e utilizzare applicazioni senza doverli conservare o installare sul proprio dispositivo.

Ciò significa che email, documenti e file multimediali vengono salvati su server remoti e possono essere raggiunti da qualsiasi dispositivo connesso alla rete.

Ciò offre diversi vantaggi sia ai privati sia alle aziende, facilita la condivisione di file e la collaborazione in tempo reale, riduce il rischio di perdere dati grazie ai backup automatici e libera spazio sui dispositivi.

Inoltre, gli aggiornamenti e la manutenzione dell'infrastruttura vengono gestiti dal fornitore del servizio, rendendo la tecnologia più semplice da usare e spesso più economica.

I documenti sensibili sul cloud: sfatiamo un mito

È un argomento spesso affrontato in modo perfettibile che apre le porte agli equivoci.

Gli esperti non demonizzano l’archiviazione sul cloud di dati sensibili quali cartelle cliniche, dichiarazioni dei redditi oppure copie di documenti di identità.

Anzi, il National Cyber Security Centre britannico dice sostanzialmente il contrario: anche un servizio che conserva dati molto sensibili può essere appropriato ma, più gravi sarebbero le conseguenze di un furto o di una diffusione e maggiori devono essere le garanzie richieste al fornitore.

Infatti, la CISA e la National Security Agency (NSA), l’organizzazione americana che si occupa di spionaggio elettronico, crittografia e cyber sicurezza, raccomandano a loro volta che i dati sensibili conservati sul cloud siano cifrati sia durante il trasferimento sia a riposo, ovvero quando si trovano sui sistemi del fornitore del servizio.

La cifratura, ovvero la tecnica che rende leggibili i dati solo a chi è in possesso delle chiavi per la loro decodifica, è la discriminante che fa di un servizio cloud una risorsa sicura o meno.

La cifratura dei principali servizi cloud

Google Drive, OneDrive di Microsoft, Dropbox e iCloud di Apple cifrano di default i dati in transito e quelli a riposo. Ciò significa che neppure le aziende a cui affidiamo i dati possono leggerli.

Quello della cifratura è un discorso tecnologico, commerciale e politico. Il 4 agosto scorso Apple ha deciso di affrontare a muso duro il governo britannico che, per fronteggiare alcune forme di crimine, vorrebbe avere un accesso privilegiato ai dati crittografati degli utenti. A prescindere dalle ingerenze governative e dal loro successo, il modo in cui i dati sono protetti è di importanza capitale.

Tuttavia, la cifratura non rende il cloud (o una qualsiasi altra risorsa internet) sicuro al 100%, poiché subentrano diverse variabili che fanno capo agli utenti.

Le trappole da evitare

I rischi principali, infatti, sono il furto delle credenziali (nome utente e password) degli account degli utenti, cosa resa più facile se si fa ricorso a password deboli o utilizzate in diversi servizi.

Inoltre, l’autenticazione a due fattori - sistema di sicurezza che richiede, oltre alla password, una seconda verifica come un codice ricevuto sul telefono o generato da un'app – rappresenta un ulteriore livello di sicurezza.

Una breve parentesi sull’autenticazione a due fattori (2FA) per evitare confusione.

Alcuni attacchi sono riusciti a bypassarla ingannando l'utente o rubando una sessione già autenticata, ma questo non perché 2FA ha smesso di funzionare. Rimane un tipo di autenticazione più difficile da compromettere rispetto a una protetta solo da password. Gli utenti non dovrebbero farne a meno, privilegiando le app di autenticazione o le passkey agli sms.

Le misure di sicurezza nulla possono contro la condivisione accidentale di file o il lasciare a terzi l’accesso fisico a un dispositivo collegato a un servizio cloud.

Cosa non andrebbe mai conservato sul cloud

In cima alla lista dei file che non dovrebbero essere conservati online ci sono i codici di recupero degli account utenti.

Per esempio, quando si attiva l’autenticazione a due fattori, alcuni servizi cloud consentono di generare una serie di codici da usare in caso di emergenza, tipicamente quando non si è in possesso del dispositivo sul quale viene inviato il secondo codice necessario per accedere all’account.

Il NIST raccomanda di conservare i codici di emergenza offline, stampati o trascritti a mano e conservati in un luogo sicuro.

Conservarne l’unica copia proprio nel cloud collegato all’account crea un paradosso perché, nell’impossibilità di accedervi, i codici di recupero sono inutilizzabili.

Un problema spesso percepito male dagli utenti, tant’è che Google sta sperimentando un sistema di recupero basato su video del volto del legittimo proprietario dell’account.

La CISA si concentra anche sull’uso dei password manager, ovvero quei programmi al cui interno una persona può conservare le credenziali di tutti i propri account online.

Software comodi, disponibili anche gratuitamente e raccomandati dalla stessa CISA a patto che la password principale – quella che consente di aprire il password manager – non venga conservata sul cloud, tantomeno in un file chiamato “password”.

Anche in questo caso il motivo è intuitivo. Chi dovesse riuscire ad accedere al cloud senza autorizzazione entrerebbe in possesso di tutte le credenziali degli account online.

In altre parole – e in senso più generale – la chiave per aprire un archivio dovrebbe essere custodita con il massimo riserbo e non dovrebbe mai essere lasciata accanto all’archivio stesso.

I file di lavoro e il cloud personale

C’è un comportamento che ha spinto il National Cyber Security Centre britannico a scrivere un’apposita procedura. Un dipendente deve finire un lavoro a casa, quindi copia alcuni documenti sul proprio cloud personale.

L’agenzia cita espressamente il caso di chi conserva dati sensibili dell’organizzazione in un account cloud personale per potervi accedere da un altro luogo o dispositivo. È un esempio di quella che viene chiamata shadow IT, zona grigia nella quale dati e strumenti utilizzati per lavorare rimangono fuori dai sistemi di controllo di un’azienda.

Un documento aziendale riservato può quindi essere perfettamente legittimo nel cloud scelto dall’impresa e diventare un problema quando viene copiato nel cloud personale di un dipendente.

Il problema non è il cloud ma ciò che gli si affida

Al di là delle raccomandazioni delle agenzie governative e al di là di quei file che sarebbe opportuno non caricare sul cloud, ogni utente dovrebbe chiedersi cosa accadrebbe se qualcuno entrasse in possesso dei file che intende conservare online e dovrebbe chiedersi quali conseguenze un’eventuale appropriazione indebita potrebbe comportare: il furto di una fotografia può essere indolore, la sottrazione di credenziali utili ad accedere ad altri servizi online può avere ricadute ben più spiacevoli.

La risposta onesta a questa domanda è sufficiente per comprendere se il posto più comodo nel quale conservare i dati (il cloud) è anche il più sicuro.