La sicurezza del cloud si è frammentata in acronimi che coprono problemi diversi:
- CSPM (Cloud Security Posture Management) – caccia le misconfigurazioni: il bucket S3 pubblico per errore, il security group spalancato, l'IAM troppo largo, la cifratura mancante. La causa numero uno dei breach cloud non è l'exploit sofisticato, è la casella lasciata aperta – e il CSPM la trova su scala
- CWPP (Cloud Workload Protection Platform) – protegge i carichi in esecuzione: VM, container, funzioni serverless – vulnerabilità, malware, comportamento a runtime
- CNAPP (Cloud-Native Application Protection Platform) – la piattaforma unificata che fonde CSPM + CWPP + scansione del codice/IaC + gestione delle identità in un quadro solo, correlando "questa misconfig + questa CVE + questo permesso" nel rischio reale
La direzione del mercato è verso CNAPP (meno strumenti scollegati). Per chi non compra una suite enterprise, i mattoni open source esistono: scanner di misconfigurazione IaC (Checkov, tfsec) in CI, scanner immagini (Trivy), e la disciplina di base – minimo privilegio IAM, niente storage pubblico per default, log centralizzati. E per chi il cloud lo vuole ridurre alla radice, il problema più semplice da mettere in sicurezza è quello che non hai.