La sicurezza moderna nel cloud non si costruisce su una singola barriera, ma su un insieme di modelli concettuali che definiscono chi è responsabile di cosa, come stratificare le difese e quale mentalità adottare verso le minacce. Padroneggiare questi tre modelli è il punto di partenza dell’esame SC-900.

Il modello di responsabilità condivisa

Quando si adotta il cloud, la sicurezza non è più interamente a carico del cliente né interamente di Microsoft: la responsabilità si divide e il confine si sposta a seconda del modello di servizio.

  • On-premises: il cliente gestisce tutto (hardware, rete, sistema operativo, applicazioni, dati).
  • IaaS (Infrastructure as a Service): Microsoft gestisce il datacenter fisico, la rete host e l’hypervisor; il cliente resta responsabile di sistema operativo, patching, configurazioni di rete virtuale, applicazioni e dati.
  • PaaS (Platform as a Service): Microsoft aggiunge alla propria quota il sistema operativo e il runtime; al cliente restano applicazione, gestione degli accessi e dati.
  • SaaS (Software as a Service, es. Microsoft 365): Microsoft gestisce quasi tutto lo stack; il cliente mantiene comunque la responsabilità dei dati, degli account/identità e dei dispositivi.

Tre responsabilità restano sempre del cliente in ogni modello: dati e contenuti, account e identità, dispositivi. Microsoft è invece sempre responsabile della sicurezza fisica del datacenter.

Difesa in profondità e triade CIA

La defense in depth applica più livelli di protezione indipendenti: se un livello viene compromesso, quello successivo rallenta o blocca l’attaccante. I livelli tipici, dall’esterno verso l’interno, sono:

  • Sicurezza fisica (accesso al datacenter)
  • Identità e accesso (autenticazione, MFA)
  • Perimetro (protezione DDoS, firewall perimetrali)
  • Rete (segmentazione, limitazione della comunicazione tra risorse)
  • Compute (hardening di host e VM, endpoint protection)
  • Applicazione (codice sicuro, gestione delle vulnerabilità)
  • Dati (crittografia at-rest e in-transit, controllo degli accessi)

L’obiettivo di tutti questi livelli è proteggere la triade CIA:

  • Confidentiality (riservatezza): solo chi è autorizzato accede ai dati — realizzata con crittografia e controllo degli accessi.
  • Integrity (integrità): i dati non vengono alterati in modo non autorizzato — garantita con hashing e firme.
  • Availability (disponibilità): i dati e i servizi sono accessibili quando servono — protetta con ridondanza e difese anti-DDoS.

Il modello Zero Trust

Zero Trust ribalta l’approccio tradizionale del “perimetro fidato”: non ci si fida mai per posizione di rete. Il motto è “never trust, always verify”.

I tre principi guida

  • Verify explicitly: autenticare e autorizzare sempre in base a tutti i punti dati disponibili (identità, dispositivo, posizione, servizio, comportamento).
  • Use least privilege access: concedere solo i permessi minimi necessari, con just-in-time e just-enough-access (JIT/JEA) e policy adattive.
  • Assume breach: presumere che una violazione sia già avvenuta; segmentare, cifrare, monitorare e minimizzare il raggio d’impatto (blast radius).

I sei pilastri

Zero Trust si applica trasversalmente a sei aree: Identities, Devices (endpoint), Applications, Data, Infrastructure e Networks. Ogni pilastro genera segnali che alimentano decisioni di accesso automatizzate e continue.

Trappole tipiche d’esame

  • Scenario: “In un modello SaaS come Microsoft 365, di cosa è responsabile il cliente?” → Risposta giusta: sempre dati, identità/account e dispositivi, mai l’infrastruttura fisica o il sistema operativo.
  • Scenario: “Devi garantire che i dati non vengano modificati in modo non autorizzato: quale elemento della triade CIA?” → Risposta giusta: Integrity (non Confidentiality, che riguarda l’accesso).
  • Scenario: “Un utente autenticato viene comunque verificato per dispositivo e posizione a ogni accesso: quale principio Zero Trust?” → Risposta giusta: Verify explicitly (non least privilege).
  • Scenario: “L’organizzazione segmenta la rete e cifra tutto partendo dal presupposto che l’attaccante sia già dentro: quale principio?” → Risposta giusta: Assume breach.
  • Scenario: “Concedere permessi minimi con accesso just-in-time” → Risposta giusta: Use least privilege access, non defense in depth (che è un modello a livelli, non un principio Zero Trust).