Cos’è il cloud computing: definizione e uso pratico

Il cloud computing è un modello che consente l’accesso via rete, su richiesta e in modalità self-service, a un insieme condiviso di risorse informatiche configurabili: server, storage, reti, applicazioni e servizi. Il NIST SP 800-145 è la definizione di riferimento a livello internazionale e identifica cinque caratteristiche essenziali, tre modelli di servizio e quattro modelli di distribuzione. In termini pratici, significa che un’azienda può attivare un server virtuale in pochi minuti, pagare solo le risorse effettivamente usate e dismettere tutto senza costi di dismissione hardware.

Per chi opera in Italia o nell’Europa centrale, il cloud computing porta con sé obblighi normativi precisi: il GDPR regola il trattamento dei dati personali indipendentemente da dove risiedono i server, mentre la direttiva NIS2 impone requisiti di resilienza a operatori di servizi essenziali. Standard come ISO 27017 e ISO 27018 forniscono controlli specifici per ambienti cloud, rispettivamente per la sicurezza dei servizi e per la protezione dei dati personali trattati in cloud.

Tre punti da tenere a mente fin dall’inizio:

• Il cloud non è un luogo fisico unico: è un’architettura distribuita di data center collegati via rete.
• Il modello di responsabilità è condiviso: il provider gestisce l’infrastruttura, il cliente gestisce dati, accessi e configurazioni.
• La scelta del modello (pubblico, privato, ibrido) dipende da requisiti di conformità, costi e controllo.

Un consiglio: Prima di valutare qualsiasi provider, documentate quali dati trattate, dove devono risiedere per legge e chi deve potervi accedere. Questa analisi preliminare riduce il rischio di configurazioni errate fin dall’inizio.

Punti chiave

Il cloud computing è il modello IT più adottato perché combina flessibilità operativa, costi variabili e resilienza, ma richiede una gestione attiva della sicurezza e della conformità normativa da parte del cliente.

Indice

• Cos’è il cloud computing secondo il NIST: definizione e caratteristiche essenziali
• Come funziona il cloud: architettura e componenti di base
• Quali sono i modelli di servizio IaaS, PaaS e SaaS?
• Cloud pubblico, privato, ibrido o community: quale scegliere?
• Quali sono i vantaggi concreti del cloud per una PMI?
• Rischi, sicurezza e obblighi normativi: GDPR, NIS2 e responsabilità condivisa
• Come migrare in cloud in sicurezza: la roadmap per le PMI
• Come si sta diffondendo il cloud in Italia e nell’Europa centrale?
• Quando conviene usare il cloud: casi d’uso pratici
• Il punto di vista di Securityhub sull’adozione cloud
• Securityhub per la sicurezza e la conformità cloud delle PMI
• Fonti

Cos’è il cloud computing secondo il NIST: definizione e caratteristiche essenziali

Il NIST SP 800-145 definisce il cloud computing come un modello che abilita l’accesso di rete on-demand a un pool condiviso di risorse configurabili, rilasciabili con il minimo sforzo gestionale o interazione con il provider. Questa definizione non è accademica: è il punto di partenza che regolatori, certificatori e provider usano per valutare se un servizio è effettivamente “cloud” o semplicemente hosting tradizionale.

Le cinque caratteristiche essenziali identificate dal NIST sono:

• On-demand self-service: l’utente attiva risorse (capacità di calcolo, storage) autonomamente, senza intervento umano del provider.
• Broad network access: le risorse sono accessibili via rete standard da qualsiasi dispositivo: PC, smartphone, tablet.
• Resource pooling: le risorse fisiche sono condivise tra più clienti (modello multitenant), assegnate dinamicamente in base alla domanda.
• Rapid elasticity: la capacità si scala verso l’alto o verso il basso in modo rapido, spesso automatico, in risposta al carico.
• Measured service: il consumo è monitorato e misurato; il cliente paga in base all’uso effettivo.

Queste caratteristiche hanno implicazioni dirette sulle decisioni aziendali. Il resource pooling introduce il concetto di isolamento multitenant: i dati di clienti diversi coesistono sulla stessa infrastruttura fisica, ma devono essere logicamente separati. Il measured service trasforma i costi IT da CAPEX (investimento in hardware) a OPEX (spesa operativa variabile), con impatto diretto sul bilancio delle PMI.

Come funziona il cloud: architettura e componenti di base

Quando un utente richiede una risorsa cloud, il flusso operativo attraversa quattro stadi: la richiesta viaggia via rete verso il data center del provider; un sistema di orchestrazione verifica la disponibilità e assegna le risorse; la virtualizzazione (tramite hypervisor o container) isola l’ambiente dell’utente dagli altri tenant; il sistema di monitoraggio registra il consumo per la fatturazione.

Il NIST Cloud Computing Program identifica le tecnologie abilitanti di questo modello: reti ad alta velocità, server economici su larga scala e virtualizzazione ad alte prestazioni. I componenti principali di un’architettura cloud sono:

• Data center: strutture fisiche con server, storage, alimentazione ridondante e connettività ad alta banda.
• Hypervisor e virtualizzazione: software (come VMware o KVM) che crea macchine virtuali isolate sullo stesso hardware fisico.
• Container e orchestratori: tecnologie come Docker e Kubernetes che impacchettano applicazioni con le loro dipendenze e ne gestiscono il ciclo di vita.
• API e servizi: interfacce programmatiche che permettono di automatizzare provisioning, scaling e integrazione tra servizi.
• Storage distribuito: sistemi che replicano i dati su più nodi per garantire disponibilità e durabilità.
• Rete e sicurezza perimetrale: firewall, bilanciatori di carico, CDN (come quelle offerte da Cloudflare) e segmentazione di rete.

Un consiglio: Quando valutate un provider, richiedete documentazione su: isolamento dei tenant, politiche di backup e snapshot, procedure di ripristino (RTO/RPO), e supporto per l’autenticazione a più fattori (MFA) su tutti gli accessi amministrativi. Questi controlli sono il minimo operativo per una configurazione sicura.

Quali sono i modelli di servizio IaaS, PaaS e SaaS?

I tre modelli di servizio definiscono quanto controllo mantiene il cliente e quanta responsabilità delega al provider. La documentazione Microsoft Azure e Azure sui tipi di servizi descrivono questi modelli con esempi applicativi concreti.

• IaaS (Infrastructure as a Service): il provider fornisce server virtuali, storage e rete; il cliente gestisce sistema operativo, middleware e applicazioni. Adatto a team IT che vogliono controllo completo senza acquistare hardware.
• PaaS (Platform as a Service): il provider aggiunge al livello IaaS runtime, database e strumenti di sviluppo; il cliente si concentra sul codice applicativo. La scelta naturale per team di sviluppo che vogliono rilasciare applicazioni senza gestire l’infrastruttura sottostante.
• SaaS (Software as a Service): il provider eroga l’applicazione completa via browser o API; il cliente gestisce solo dati e accessi utente. Posta elettronica aziendale, suite di collaborazione e CRM rientrano in questa categoria.

Nella pratica, molte PMI adottano una combinazione: SaaS per produttività quotidiana, IaaS per applicativi legacy che richiedono configurazioni specifiche, PaaS per nuovi progetti di sviluppo. Questa modalità mista è spesso la strada più efficiente per chi parte da un’infrastruttura on-premise esistente.

Cloud pubblico, privato, ibrido o community: quale scegliere?

I modelli di distribuzione determinano chi controlla l’infrastruttura e dove risiedono fisicamente i dati. La scelta ha implicazioni dirette su costi, conformità e performance, come dettagliato dalla documentazione AWS sui tipi di cloud.

• Cloud pubblico: infrastruttura condivisa tra più organizzazioni, gestita da un provider terzo. Costi contenuti, scalabilità immediata, ma minore controllo sulla residenza dei dati.
• Cloud privato: infrastruttura dedicata a una singola organizzazione, on-premise o in co-location. Controllo totale, ma costi fissi elevati e gestione interna.
• Cloud ibrido: combinazione di pubblico e privato, con workload distribuiti in base a requisiti di sicurezza, performance e costo. Modello prevalente tra le aziende italiane di medie dimensioni.
• Community cloud: infrastruttura condivisa tra organizzazioni con requisiti comuni (es. enti pubblici, settore sanitario). Bilancia controllo e costi tra soggetti con obblighi normativi simili.

La residenza dei dati è un fattore critico nell’Europa centrale. Il GDPR richiede che i trasferimenti di dati personali verso paesi extra-SEE avvengano solo in presenza di garanzie adeguate. Scegliere un provider con data center in Italia o nell’Unione Europea semplifica la dimostrazione di conformità e riduce il rischio di contestazioni da parte del Garante.

Un consiglio: Per i dati sanitari o finanziari, valutate sempre un modello ibrido o privato: la flessibilità del pubblico non vale il rischio normativo se i dati non possono uscire dal territorio nazionale o dall’UE.

Quali sono i vantaggi concreti del cloud per una PMI?

I vantaggi del cloud computing per le PMI italiane vanno oltre la riduzione dei costi hardware. La documentazione Google Cloud elenca i benefici operativi principali:

• Riduzione dei costi iniziali: nessun investimento in server fisici; si paga solo ciò che si usa, con fatturazione mensile prevedibile.
• Scalabilità immediata: una PMI può aumentare la capacità in ore, non in settimane, senza acquistare hardware aggiuntivo.
• Resilienza e continuità operativa: i provider enterprise garantiscono ridondanza geografica e livelli di disponibilità (SLA) che un data center interno difficilmente raggiunge.
• Aggiornamenti automatici: il provider gestisce patch di sicurezza e aggiornamenti software, riducendo il carico sul team IT interno.
• Lavoro remoto e collaborazione: accesso alle risorse aziendali da qualsiasi luogo, con strumenti di collaborazione integrati.

Per una gestione sicura dei dati in cloud, i vantaggi si concretizzano anche nella capacità di implementare controlli di sicurezza centralizzati che sarebbero troppo costosi on-premise.

Il cloud non è sempre la scelta ottimale. Se un’organizzazione ha carichi di lavoro stabili e prevedibili, i costi variabili del cloud possono superare quelli di un’infrastruttura dedicata nel lungo periodo. Requisiti normativi molto specifici (es. dati classificati, settori regolamentati con obblighi di audit fisico) possono rendere preferibile un approccio on-premise o ibrido.

Rischi, sicurezza e obblighi normativi: GDPR, NIS2 e responsabilità condivisa

Il rischio maggiore nel cloud non è il provider: è la configurazione errata da parte del cliente. Permessi troppo ampi, MFA assente sugli account amministrativi e bucket di storage pubblici per errore sono tra le cause principali di incidenti, come documentato nell’analisi delle vulnerabilità cloud.

Il modello di responsabilità condivisa definisce il confine: il provider garantisce la sicurezza dell’ infrastruttura (fisica, rete, hypervisor); il cliente è responsabile della sicurezza nell’ infrastruttura (dati, identità, configurazioni, applicazioni). In un modello SaaS, il confine si sposta ulteriormente verso il provider, ma la responsabilità sui dati resta sempre al cliente.

Checklist di mitigazioni pratiche:

• Abilitare MFA su tutti gli account con privilegi amministrativi.
• Applicare il principio del minimo privilegio per tutti i ruoli IAM.
• Cifrare i dati a riposo e in transito con standard aggiornati.
• Configurare backup automatici con test periodici di ripristino.
• Attivare log di audit centralizzati e conservarli per il periodo richiesto dal GDPR.
• Stipulare un Data Processing Agreement (DPA) con ogni provider che tratta dati personali per conto dell’azienda.
• Verificare la residenza dei dati e le clausole contrattuali standard per i trasferimenti extra-SEE.

Per approfondire gli aspetti legali della protezione dei dati aziendali, è utile consultare anche una guida legale-operativa specifica per PMI.

Un consiglio: In fase contrattuale, chiedete al provider: dove risiedono fisicamente i dati? Chi può accedervi e in quali circostanze? Quali certificazioni di sicurezza sono mantenute (ISO 27001, ISO 27017, SOC 2)? Quali sono i tempi di notifica in caso di data breach? Le risposte a queste domande valgono più di qualsiasi SLA commerciale.

Azioni numerate per la conformità GDPR/NIS2:

1. Mappare tutti i trattamenti di dati personali che coinvolgono servizi cloud.
2. Verificare che ogni provider sia designato come responsabile del trattamento con DPA firmato.
3. Documentare le misure tecniche e organizzative adottate (cifratura, controllo accessi, backup).
4. Pianificare esercizi di risposta agli incidenti che includano scenari di breach cloud.
5. Aggiornare il registro dei trattamenti ogni volta che si adotta un nuovo servizio cloud.

Come migrare in cloud in sicurezza: la roadmap per le PMI

Una migrazione cloud ben pianificata segue fasi distinte. Saltare l’assessment iniziale è l’errore più comune e quello con le conseguenze più costose.

1. Assessment: inventariare applicazioni e dati, classificarli per sensibilità e requisiti normativi, identificare dipendenze tecniche.
2. Prioritarizzazione: scegliere i workload a basso rischio e alta visibilità per il primo ciclo (es. backup, ambienti di sviluppo/test).
3. Proof of concept: migrare un workload non critico, misurare performance, costi e complessità operativa reale.
4. Migrazione a fasi: procedere per gruppi di applicazioni, con finestre di rollback definite e snapshot pre-migrazione.
5. Test di ripristino: verificare che i backup siano effettivamente ripristinabili entro i tempi RTO/RPO dichiarati.

Per ogni fase, la checklist sicurezza cloud per PMI di Securityhub fornisce controlli operativi specifici. Gli standard ISO 27017 (sicurezza dei servizi cloud) e ISO 27018 (protezione dei dati personali in cloud) offrono il framework di controllo più riconosciuto a livello internazionale per dimostrare la conformità ai clienti e ai regolatori.

Un consiglio: Non migrate mai un’applicazione in produzione senza aver testato il ripristino completo da backup almeno una volta nell’ambiente cloud di destinazione. Il backup che non è mai stato ripristinato non è un backup: è solo una speranza.

Checklist operativa per la fase di migrazione:

• Snapshot dell’ambiente sorgente prima di qualsiasi modifica.
• Template DPA predisposto e firmato con il provider prima del trasferimento dati.
• Formazione degli utenti sulle nuove procedure di accesso (MFA, gestione credenziali).
• Monitoraggio attivo nelle prime 72 ore post-migrazione con soglie di allerta configurate.
• Documentazione aggiornata del registro dei trattamenti.

Come si sta diffondendo il cloud in Italia e nell’Europa centrale?

L’adozione del cloud tra le PMI italiane è cresciuta in modo significativo negli ultimi anni, con una preferenza marcata verso i modelli ibridi, che consentono di mantenere on-premise i dati più sensibili mentre si spostano in cloud i workload di produttività e collaborazione. I settori manifatturiero, professionale e della distribuzione guidano l’adozione, mentre sanità e finanza procedono con maggiore cautela per via dei requisiti normativi specifici.

Sul fronte istituzionale, AGID pubblica linee guida e criteri per l’adozione del cloud nella Pubblica Amministrazione italiana, con indicazioni su qualificazione dei provider e requisiti di residenza dei dati per i sistemi della PA. Il Team Digitale fornisce strumenti operativi e documentazione per i progetti di trasformazione digitale degli enti pubblici, con un focus specifico sulla migrazione cloud e sulla gestione dei dati pubblici.

Per le aziende private, le iniziative europee come il GAIA-X definiscono standard di interoperabilità e sovranità dei dati che influenzeranno le scelte di provider nei prossimi anni. La preferenza verso data center localizzati nell’UE non è solo una questione di conformità GDPR: è una scelta strategica che riduce l’esposizione a normative extraeuropee (come il Cloud Act statunitense) che potrebbero impattare l’accesso ai dati aziendali.

Quando conviene usare il cloud: casi d’uso pratici

Il cloud offre il massimo vantaggio in scenari dove la variabilità del carico, la necessità di collaborazione distribuita o i requisiti di resilienza rendono l’infrastruttura on-premise inefficiente o troppo costosa.

• Backup e disaster recovery: replicare i dati su storage cloud geograficamente distribuito costa una frazione di un sito di DR dedicato e garantisce RTO/RPO comparabili.
• Hosting di applicazioni web: scalare automaticamente in risposta ai picchi di traffico senza sovradimensionare l’infrastruttura per il carico medio.
• Ambienti di sviluppo e test: attivare e dismettere ambienti in minuti, pagando solo per il tempo di utilizzo effettivo.
• Analisi dati e business intelligence: elaborare grandi volumi di dati con potenza di calcolo on-demand, senza investire in cluster dedicati.
• Collaborazione e produttività: suite SaaS per posta, videoconferenza e gestione documentale, accessibili da qualsiasi dispositivo.

Per stimare il ROI di un progetto pilota, confrontate il costo mensile del servizio cloud con il costo totale di proprietà (TCO) dell’equivalente on-premise: hardware, licenze, manutenzione, energia, spazio fisico e tempo del personale IT. Per workload variabili, il cloud risulta quasi sempre più conveniente nel breve-medio periodo. Per workload stabili e ad alto utilizzo, il confronto va fatto su un orizzonte di almeno tre anni.

La scelta dei workload da migrare per primi dovrebbe privilegiare quelli con bassa sensibilità dei dati, alta variabilità del carico e dipendenze tecniche limitate: sono i candidati ideali per un proof of concept a basso rischio.

Il punto di vista di Securityhub sull’adozione cloud

La domanda che sento più spesso dalle PMI italiane non è “dobbiamo andare in cloud?” ma “come facciamo a non sbagliare la configurazione?”. È la domanda giusta. L’infrastruttura cloud dei grandi provider è tecnicamente solida; il problema quasi sempre sta nel lato cliente: permessi mal configurati, backup non testati, DPA mancanti, MFA disabilitato per comodità.

L’approccio che Securityhub porta ai propri clienti parte dall’assessment: capire cosa c’è, dove sono i dati, quali obblighi normativi si applicano. Solo dopo si definisce l’architettura target e si pianifica la migrazione. Gli standard ISO 27001, ISO 27017 e ISO 27018 non sono un ostacolo burocratico: sono il framework che permette di dimostrare ai clienti, ai partner e ai regolatori che la sicurezza è gestita con metodo, non per fortuna.

Chi adotta il cloud senza un framework di controllo strutturato non è più sicuro di chi restava on-premise: ha solo spostato il rischio in un ambiente che conosce meno.

Securityhub per la sicurezza e la conformità cloud delle PMI

Gestire una migrazione cloud in conformità con GDPR, NIS2 e gli standard ISO richiede competenze che vanno oltre la configurazione tecnica. Securityhub affianca le PMI italiane in ogni fase: dall’assessment iniziale dei rischi alla definizione dei controlli tecnici e organizzativi, fino al supporto per la certificazione ISO 27001 e per gli standard specifici per il cloud (ISO 27017 e ISO 27018).

Il vantaggio concreto rispetto a un approccio fai-da-te è la riduzione del tempo tra la decisione di migrare e la conformità documentata: Securityhub fornisce template DPA, checklist operative e documentazione ISMS già strutturata per ambienti cloud, evitando di partire da zero. Per chi vuole una guida completa ai passaggi per ISO 27001, è disponibile una risorsa dedicata sul sito. È possibile richiedere un assessment preliminare gratuito per valutare il punto di partenza e identificare le priorità di intervento.

Fonti

Fonti primarie citate in questo articolo, utili per chi vuole consultare le definizioni e le linee guida originali:

• NIST SP 800-145
• NIST Cloud Computing Program
• Che cos’è il cloud computing? – Microsoft Azure
• Vantaggi e svantaggi del cloud computing – Google Cloud
• Tipi di cloud computing – AWS
• AGID
• Team Digitale

Raccomandati

• Che Cos’è la Sicurezza Cloud: Guida Completa – Security Hub
• Raccomandazioni Sicurezza Cloud: Guida Completa 2024 – Security Hub
• Linee guida ISO per il cloud: guida completa – Security Hub
• Termini Chiave Sicurezza Cloud: Guida Completa – Security Hub