Cosa si intende per sicurezza Zero Trust?

La sicurezza Zero Trust è un modello di sicurezza IT contestuale che si basa su un principio: “non fidarti di nessuno”. Un modello o un’architettura Zero Trust implica che nessun utente o dispositivo, anche se impiegato dall’organizzazione, disponga di un accesso predefinito alla rete, al workspace o ad altre risorse dell’organizzazione. Prima di ottenere l’accesso, gli utenti autorizzati devono superare i protocolli di sicurezza sulla base di criteri quali identità, orario di accesso e postura del dispositivo. L’architettura Zero Trust può includere il controllo degli accessi, la verifica dell’identità dell’utente e workspace sicuri per prevenire il malware, l‘esfiltrazione dei dati a causa di una violazione della VPN e altri attacchi ai dati sensibili.

Perché la sicurezza Zero Trust è importante?

La sicurezza Zero Trust è importante perché i reparti IT di oggi devono proteggere una superficie di attacco più ampia e al contempo offrire un’esperienza utente coinvolgente. Ora che i dipendenti fanno uso dei dispositivi personali per l’accesso remoto a workspace, applicazioni cloud e risorse aziendali, la probabilità di una perdita di dati è più elevata che mai. Un ulteriore aspetto negativo è che il costo medio di una singola violazione dei dati è quantificabile in circa 3,92 milioni di dollari e mediamente vengono rubati 25.575 registri di dati. Se calcoliamo solo le due maggiori violazioni dei dati degli ultimi 20 anni, sono state rubate le informazioni di oltre 3,5 miliardi di persone.

Un’architettura Zero Trust rappresenta un approccio serio a questo problema altrettanto serio. Ammette che i modelli di information security che espongono alcuni dati sensibili hanno il potenziale di esporre tutti i dati sensibili. È come rinchiudere tutti i propri beni in una sola banca sicura: una volta che un intruso vi accede, può rubare tutto. Per ovviare a tale rischio, l’accesso alla rete Zero Trust irrigidisce la sicurezza degli accessi sia per gli endpoint che per gli utenti. Per una sicurezza Zero Trust più completa, le organizzazioni possono fornire ai dipendenti un accesso sicuro a un workspace digitale protetto. Questo riduce il rischio complessivo offrendo agli utenti un accesso sicuro a tutte le applicazioni, agli strumenti e ai dati di cui hanno bisogno, senza esporre l’organizzazione a rischi inutili.

Qual è la differenza tra l’information security tradizionale e l’architettura Zero Trust?

Gli approcci tradizionali alla information security comportano il trasferimento di dati sensibili in datacenter protetti da accessi e firewall. Il presupposto è che chiunque all’interno dell’organizzazione sia controllato e affidabile; fintanto che si dispone di nome utente e password, è possibile accedere a tutto quello che si trova sulla rete dell’organizzazione, senza essere contrastati. A volte questo viene definito come l’approccio del castello con fossato: il castello rappresenta l’azienda che custodisce i dati, mentre il fossato rappresenta le difese e le misure deterrenti che circondano i dati.

Tuttavia, tale approccio non è adeguato alle moderne minacce alla sicurezza informatica. Ora che la maggior parte delle organizzazioni è operativa nel cloud, un approccio centralizzato “trust-but-verify” è sempre meno sensato. Gli utenti non accedono più ai dati sensibili da un singolo punto o dispositivo e tali dati non risiedono più in un’unica posizione. Fondamentalmente, non c’è più un unico ingresso al castello, poiché gli attacchi informatici potrebbero arrivare da qualsiasi luogo e in ogni momento. Un fossato non è una protezione efficace quando gli intrusi possono paracadutarsi dal cielo.

Un’architettura Zero Trust sviluppa questo tradizionale approccio alla sicurezza informatica spostando l’onere della protezione dei dati dall’interno dell’organizzazione a ciascun utente, dispositivo e applicazione che tenta di accedere alla rete. Se implementato correttamente, questo approccio Zero Trust è un’architettura di sicurezza context-aware in grado di riconoscere pattern nel comportamento e nei dispositivi degli utenti per concedere o negare in modo adattivo l’accesso in base a fattori come identità, orario e posizione.

Come iniziare a implementare un’architettura Zero Trust

Una sicurezza Zero Trust rappresenta una strategia globale piuttosto che una soluzione singola e tangibile. Abbracciare una mentalità che impone di “non fidarsi mai e verificare sempre” significa ripensare ogni aspetto del modo in cui un’organizzazione ospita i dati sensibili e vi accede. Le organizzazioni dovrebbero prepararsi a investire molto tempo nella ristrutturazione della sicurezza della rete e nel controllo degli accessi a tutti i livelli. Ecco alcuni passaggi per iniziare a implementare un’architettura Zero Trust in un’organizzazione:

  1. Controllate la rete dell’organizzazione per avere un quadro chiaro di quali infrastrutture ed endpoint siano presenti. Questo mostra al reparto IT quali sono gli aspetti che devono essere affrontati per primi dalle policy di sicurezza della rete. 
  2. Effettuate un assessment approfondito delle minacce ed elaborate alcuni scenari relativi a ciò che accadrebbe se i dati sensibili venissero violati. Ponetevi domande del tipo: “Chi accederà con maggiore probabilità e a quali dati?” e “Se viene penetrato il primo livello di sicurezza, quanto sarà facile penetrare quelli successivi?”. 
  3. Decidete come fidarvi di utenti, dispositivi e applicazioni, come entità separate ma correlate. È importante concedere l’accesso solo a ciò che è effettivamente necessario, in base all’uso. L’autenticazione multi-fattore è un buon punto di partenza, ma può anche essere utile adottare strumenti di controllo contestuale degli accessi per disabilitare la stampa, il copia/incolla e gli screenshot in determinati contesti. Potete anche consentire a tutti i dipendenti di accedere alle loro applicazioni e ai loro dati all’interno di un workspace sicuro per offrire una sicurezza aziendale più completa.
  4. Testate la vostra architettura Zero Trust per valutare le sue prestazioni. Utilizzate scenari dove il vostro reparto IT tenta di accedere ai dati sensibili tramite un dispositivo smarrito, una rete Wi-Fi non protetta, URL non sicuri o malware. In questo modo è possibile rilevare potenziali vulnerabilità nella sicurezza della vostra rete al fine di adattare di conseguenza l’approccio alla sicurezza informatica.

Domande frequenti sulla sicurezza Zero Trust

L’architettura Zero Trust consiste in un prodotto singolo?
La sicurezza Zero Trust non consiste in una soluzione o in un prodotto singolo. Piuttosto, è un’architettura o un framework che il reparto IT può utilizzare per consentire l’accesso sicuro per tutte le applicazioni, da qualsiasi dispositivo, valutando continuamente l’affidabilità di ogni interazione. Ciò significa che un modello di sicurezza Zero Trust può fare affidamento su più fornitori e prodotti al fine di offrire una policy di sicurezza degli accessi granulare, contestuale e continua.

Devo sostituire la mia intera infrastruttura IT per adottare una sicurezza Zero Trust?
Sebbene non sia facile implementare la sicurezza Zero Trust, non dovrebbe richiedere la sostituzione integrale dell’infrastruttura cloud o in locale. Il giusto fornitore di Zero Trust collaborerà con voi per proteggere l’infrastruttura preesistente, come piattaforme relative all’identità, proxy SIEM/SOC e web, e soluzioni SD-WAN. Ad esempio, il vostro fornitore di Zero Trust dovrebbe riuscire a integrarsi con le directory degli utenti di Microsoft Active Directory, Microsoft Azure AD e Okta, nonché con le policy di gestione delle identità contestuali fornite con queste piattaforme.

Come posso trovare la tecnologia o i servizi adatti a implementare una rete Zero Trust?
Data la natura onnicomprensiva del modello di sicurezza Zero Trust, il reparto IT può rimanere impantanato in un ciclo infinito di soluzioni specifiche aggiuntive come SSL VPN, endpoint management e autenticazione multi-fattore per affrontare nuovi casi di utilizzo della sicurezza. Ciò può comportare una maggiore complessità e causare un’esperienza frammentaria per gli utenti finali, formando lacune sotto l’aspetto della sicurezza informatica che possono essere sfruttate dai malintenzionati.

In tale prospettiva, Forrester sottolinea i notevoli vantaggi di scegliere un singolo fornitore per implementare un’architettura di sicurezza Zero Trust. Questo aiuta ad evitare le lacune create dall’integrazione di varie soluzioni specifiche. Una strategia comprovata è quella di proteggere gli utenti e le loro applicazioni all’interno di un workspace unificato in cui viene svolto il lavoro, piuttosto che cercare di fornire una protezione frammentaria per dati e risorse sensibili da qualunque luogo gli utenti accedano. Questo aiuta anche a garantire una buona esperienza utente.

Zero Trust a confronto con la VPN: perché le VPN non possono supportare una sicurezza Zero Trust?

La differenza fondamentale tra VPN e framework di sicurezza Zero Trust è che le VPN tradizionali si basano su un’affidabilità totale. Una volta che all’utente remoto viene consentito l’accesso tramite VPN, questi ottiene un accesso totale alla rete. Possiamo riassumere le principali vulnerabilità delle VPN nei seguenti aspetti:

  1. Le VPN semplificano eccessivamente l’autenticazione: le soluzioni VPN esistenti non soddisfano i requisiti di una forza lavoro moderna e complessa in cui le applicazioni sono accessibili tramite un browser, distribuite in ambienti come datacenter e cloud o distribuite come SaaS.
  2. Le VPN non si adattano: le VPN sono limitate solo all’accesso remoto, mentre un framework Zero Trust protegge la rete aziendale in tempo reale, indipendentemente dal fatto che gli utenti si trovino in locale o al di fuori. 
  3. Le VPN non sono ottimizzate per l’esperienza dei dipendenti: considerato che le VPN indirizzano tutto il traffico (aziendale e personale) attraverso l’IT aziendale, è possibile che vengano sollevate preoccupazioni sulla privacy dei dipendenti. Inoltre, le VPN non offrono le migliori prestazioni, in quanto non comprendono un’ottimizzazione a livello di applicazione.

In poche parole, le aziende hanno bisogno di una soluzione che sia distribuita sul cloud, che fornisca un accesso a livello di applicazione e che pertanto riduca l’esposizione agli attacchi alla sicurezza, fornendo le migliori prestazioni senza ostacolare la privacy dei dipendenti.

Risorse aggiuntive

Passo successivo