Il modello di responsabilità condivisa definisce il confine tra ciò che protegge il provider cloud e ciò che resta da proteggere a te – e fraintenderlo è la causa di innumerevoli breach ("pensavo lo facesse AWS"). Il principio: il provider protegge la sicurezza del cloud (l'infrastruttura fisica, l'hypervisor, la rete di base), tu la sicurezza nel cloud (i tuoi dati, le configurazioni, gli accessi). Dove cade il confine dipende dal servizio:
- IaaS (macchine virtuali, es. EC2) – il provider ti dà l'hardware virtualizzato; tutto il resto è tuo: OS da patchare, configurazioni, applicazioni, dati, accessi. Massimo controllo, massima responsabilità
- PaaS (piattaforme gestite, database managed) – il provider gestisce anche OS e runtime; tu resti responsabile di applicazione, dati e accessi
- SaaS (software pronto, es. Microsoft 365) – il provider gestisce quasi tutto; a te restano i tuoi dati, gli accessi e le configurazioni
La costante, a ogni livello: i tuoi dati, le identità e le configurazioni sono sempre responsabilità tua. Il bucket S3 pubblico per errore, l'IAM troppo largo, l'MFA non attivata sul SaaS – nessun provider te li salva, ed è lì che nasce la maggioranza dei breach cloud. La lezione: "è sul cloud" non significa "è sicuro" – significa che la tua parte di sicurezza è diversa, non che sparisce. Ed è un motivo in più a favore del self-hosting per chi vuole (e sa gestire) il controllo pieno: là la responsabilità è tutta tua, esplicitamente.