Le organizzazioni investono molto per proteggere rete e applicazioni, ma spesso trascurano l’immagine base da cui tutto si avvia. Una AMI con pacchetti obsoleti o snapshot non cifrati propaga il rischio a ogni istanza che ne nasce. La buona notizia: proteggere l’immagine è un punto di controllo unico e molto redditizio.
La triade che lo risolve è semplice da enunciare ed esigente da mantenere: cifratura, patch e conformità dimostrabile.
1. Cifratura: proteggere i dati a riposo e in transito
La cifratura è la linea di difesa quando tutto il resto fallisce. Per le immagini di macchina si articola su più livelli:
- Snapshot EBS cifrati con AWS KMS, oppure Azure Disk Encryption e Google CMEK sugli altri cloud.
- Chiavi gestite dal cliente (CMK) con rotazione automatica e policy di accesso minime.
- Cifratura di default attivata a livello di account, così nessuna immagine nasce in chiaro.
- Gestione dei segreti fuori dall’immagine: non incorporare mai password o token; iniettali a runtime con Secrets Manager, Vault o Parameter Store.
2. Patch: la corsa contro le CVE
Ogni giorno vengono pubblicate vulnerabilità. Un’immagine è sicura il giorno in cui la crei e un po’ meno ogni giorno che passa. La gestione delle patch nel mondo immutabile non consiste nell’aggiornare server vivi, ma nel ricuocere con frequenza.
- Ritmo di ricostruzione: ricostruisci l’immagine base almeno mensilmente, e con urgenza davanti a un CVE critico del tuo stack.
- Scansione nella pipeline: integra Trivy, Grype o Amazon Inspector per rilevare le CVE prima di pubblicare.
- Quality gate: blocca la pubblicazione se compaiono vulnerabilità sopra una soglia, per esempio critiche o alte sfruttabili.
- SBOM: genera una Software Bill of Materials per sapere esattamente cosa contiene ogni immagine e rispondere in fretta al prossimo Log4Shell.
3. Conformità: dimostrare, non solo fare
In un audit non basta essere sicuri: bisogna dimostrarlo con evidenze. Le immagini ben governate producono quelle evidenze in modo naturale.
| Framework | Cosa si aspetta dalle tue immagini | Evidenza che puoi fornire |
|---|---|---|
| SOC 2 | Controlli di sicurezza coerenti e monitorati | Report di hardening e log di build |
| ISO 27001 | Gestione delle vulnerabilità e controllo dei cambiamenti | Scansioni CVE, versionamento e SBOM |
| PCI DSS | Configurazione sicura e patching documentato | Benchmark CIS e storico delle ricostruzioni |
| ENS / GDPR | Cifratura e minimizzazione dei dati | Cifratura KMS e assenza di dati personali |
Come le pratiche di immagine sicura si traducono in evidenze di conformità.
Il nuovo contesto normativo del 2026
Il quadro normativo si sta irrigidendo. Nel 2026 entrano in vigore tappe chiave della regolamentazione europea sull’IA e nuove direttive sulla responsabilità da prodotto, e diverse giurisdizioni rafforzano i requisiti di governance e conformità in cloud. Traduzione pratica: la tracciabilità di quale software esegui e di come lo metti in sicurezza smette di essere opzionale. Una catena di immagini verificabile è la tua assicurazione migliore.
Checklist di sicurezza dell’immagine
- Cifratura di default attivata e snapshot con CMK.
- Nessun segreto incorporato; gestione esterna delle credenziali.
- Scansione CVE a ogni build con quality gate.
- Ricostruzione periodica e in caso di CVE critico.
- Benchmark CIS applicato e validato.
- SBOM e log di build archiviati come evidenza.
- Ritiro sicuro delle immagini obsolete.
Domande frequenti
Ogni quanto va aggiornata un’immagine immutabile?
Non si applica una patch a caldo: si ricostruisce. Un ciclo mensile è un buon minimo, con ricostruzioni straordinarie davanti a CVE critici che toccano il tuo software.
Cos’è un SBOM e perché mi serve?
Un SBOM è l’inventario di tutto il software e le dipendenze della tua immagine. Permette di sapere in pochi minuti se una nuova vulnerabilità ti riguarda ed è sempre più richiesto in ambito conformità.
La cifratura incide sulle prestazioni?
La cifratura di EBS con KMS è trasparente e il suo impatto sulle prestazioni è praticamente impercettibile per la maggior parte dei carichi.
In imaxe.cloud applichiamo cifratura, scansione e aggiornamento continuo alle nostre immagini, così parti da una base difendibile davanti a qualsiasi audit.
