Alcuni rischi per la sicurezza del cloud sono presenti anche in altre tipologie di outsourcing mentre altri sono legati a questa specifica modalità di erogazione. Tra i principali criticità/rischi che i CSC devono affrontare si possono ricordare [ENISASR09]: Loss of governance: quando il cliente necessariamente cede il controllo al fornitore di una serie di aspetti che impattano le difese di sicurezza. Lock-in: al momento attuale il modo in cui si fruisce dei servizi cloud e l’immaturità o l’assenza di strumenti, standard e formati di dati interoperabili rende difficile migrare da un fornitore ad un altro. Isolation failure: per ottenere le necessarie economie di scala il cloud provider deve mettere in comune le risorse tra più clienti e consentirne l’accesso per la sola parte di specifica competenza (isolation). Esiste quindi la possibilità che per un attacco o per un errore tale separazione venga meno compromettendo la riservatezza. Compliance risks: ci sono situazioni in cui la compliance a leggi e regolamenti non è possibile tramite soluzioni cloud. Inoltre può capitare che il fornitore non possa fornire evidenza della propria compliance o non permettere audit da parte del cliente. Management interface compromise: l’accesso alle interfacce di gestione del public cloud da parte dei clienti deve necessariamente avvenire tramite Internet e fornisce un maggior controllo rispetto alle soluzioni di hosting. Tale capacità però comporta un aumentato rischio per il cliente nel caso di vulnerabilità e attacchi. Data protection: il cloud computing presenta molti rischi relativi alla protezione del dato. Può essere difficile per il cliente controllare che i dati siano utilizzati legalmente. Il problema è esacerbato nel caso di cloud federati (con trasferimenti multipli di dati) e con l’ampliarsi delle catene di subfornitura. Insecure or incomplete data deletion: quando viene fatta una richiesta di cancellare una risorsa, come spesso accade nei sistemi operativi, essa può essere rimossa ma non effettivamente distrutta e resa irrecuperabile. Tale situazione che include anche i casi di distruzione dei supporti fisici da dismettere e le copie di backup, è oggettivamente più complessa nel caso di ambienti cloud multi cliente che condividono hardware e software. Malicious insider: i danni che il personale interno all’organizzazione fa quando adotta comportamenti illeciti, sono molto elevati anche se numericamente meno frequenti degli attacchi dall’esterno. Ci sono persone nell’organizzazione che ricoprono ruoli estremamente delicati, come ad esempio gli amministratori di sistema. Un fornitore (ed un cliente) di servizi cloud non possono esimersi dal considerare questo rischio in tutte le sue implicazioni.