Sicurezza Zero Trust: Una guida completa

"Zero Trust è una raccolta di concetti e idee progettati per ridurre al minimo l'incertezza nell'applicazione di decisioni precise sull'accesso per richiesta con privilegi minimi nei sistemi e nei servizi informativi a fronte di una rete considerata compromessa."

- National Institute of Standards and Technology (NIST)

Immagina un mondo senza minacce informatiche.Niente hacker, malintenzionati o fughe di dati: nessun motivo per preoccuparsi. Potresti anche non disporre di un team di sicurezza in primo luogo.

Ma questo non è neanche lontanamente paragonabile alla realtà odierna, dove i vettori di minaccia sono numerosi, la superficie di attacco si sta espandendo, i tuoi dati sensibili vengono presi di mira e la prossima violazione dei dati è proprio dietro l'angolo.

La buona notizia è che l'accesso sicuro non è solo un sogno irrealizzabile. Implementando i principi Zero Trust, puoi proteggere con sicurezza le tue risorse aziendali e mitigare gli ostacoli nell'ambiente aziendale, attualmente in rapida evoluzione.

Continua a leggere per scoprire l'importanza di Zero Trust, i vantaggi per la sicurezza aziendale e cosa può fare la tua organizzazione per passare con successo a un'architettura Zero Trust.

L'ex analista di Forrester John Kindervag ha sviluppato il concetto di sicurezza Zero Trust nel 2010. Lo ha definito come uno modello di sicurezza che presuppone che ogni connessione, dispositivo e utente sia una potenziale minaccia e debba essere trattato come tale.

A differenza della maggior parte delle altre strategie di sicurezza informatica, elimina la fiducia implicita e richiede che tutti gli utenti, interni o esterni all'organizzazione, siano continuamente autenticati prima di ottenere l'accesso alla rete. In poche parole, Zero Trust è proprio come sembra: una politica di sicurezza in base alla quale nessuno, indipendentemente dal ruolo o dalla responsabilità, è intrinsecamente considerato al sicuro.

Inoltre, il modello Zero Trust rifiuta l'ipotesi di un edge di rete. Nel panorama odierno, il perimetro tradizionale si è ormai trasformato in una serie di microperimetri. Le reti, ad esempio, possono essere locali, nel cloud o una combinazione delle due. Inoltre, con l'aumento dell'accesso remoto, è praticamente impossibile sapere dove potrebbe essere collocata una risorsa.

Pertanto, l'approccio Zero Trust è specificamente progettato per affrontare le moderne sfide della sicurezza dei dati, garantendo un accesso sicuro alle risorse critiche in qualsiasi momento e luogo. In generale, una rete Zero Trust farà quanto segue:

• Registra e ispeziona tutto il traffico per identificare attività sospette e potenziali vettori di minacce
• Limita e controlla l'accesso degli utenti, autorizzando le richieste solo dopo che l'identità dell'utente è stata confermata
• Verifica e protegge le risorse aziendali per impedire l'accesso e l'esposizione non autorizzati

Le aziende si trovano ad affrontare un volume senza precedenti di minacce informatiche, sia interne che esterne. I criminali informatici hanno intensificato notevolmente i loro sforzi, prendendo ora di mira i dati sensibili a un ritmo inesorabile.

In effetti, alla fine del 2023, ci sono stati una media di oltre 1.000 attacchi per organizzazione ogni settimana. Nel 2023, 1 organizzazione su 10 in tutto il mondo è stata colpita da tentativi di attacchi ransomware, un aumento del 33% rispetto all'anno precedente.

Non sorprende che i criminali informatici non abbiano mollato neanche un po'. Secondo i dati PwC, il 43% dei dirigenti considera la mitigazione dei rischi informatici la seconda priorità più importante dopo i rischi digitali e tecnologici.

A complicare ulteriormente le cose, negli ultimi anni le organizzazioni hanno rapidamente adottato politiche di lavoro remoto e ibrido. Ciò ha portato a un'esplosione di dispositivi personali non gestiti che si connettono alla rete aziendale, aumentando così la superficie di attacco dell'azienda.

Senza la possibilità di proteggere o monitorare i dati sensibili archiviati e accessibili da questi endpoint, le organizzazioni corrono un rischio maggiore di violazione dei dati rispetto al passato. Ciò è particolarmente significativo considerando il prezzo sbalorditivo di una scarsa protezione dalle minacce. Come riporta IBM, il costo medio di una singola violazione dei dati è di 4,5 milioni di USD. Tuttavia, coloro che implementano un modello di sicurezza Zero Trust risparmiano oltre 1 milione di USD per incidente.

Le imprese dovrebbero anche considerare i rischi associati alla trasformazione digitale. Con una maggiore dipendenza da applicazioni off-premise basate su cloud, le aziende devono implementare strategie nuove e sofisticate per il controllo degli accessi e l'applicazione delle politiche di sicurezza.

Le strategie tradizionali adottano un approccio "fidati, ma verifica". In altre parole, presumono che tutto ciò che si trova dietro il firewall aziendale sia intrinsecamente sicuro e protetto.

Sicurezza Zero Trust, come suggerisce il nome, fa il contrario. Inquadra le politiche di accesso attraverso una lente "mai fidarsi, verificare sempre". Indipendentemente da dove ha origine una richiesta o quale risorsa intende utilizzare, gli ambienti Zero Trust effettueranno completamente autenticazione, autorizzazione e crittografia prima di concedere l'accesso alla rete, mai dopo.

Pertanto, le risorse aziendali sono inaccessibili per impostazione predefinita. I tuoi dipendenti possono utilizzarli solo nelle giuste circostanze, come determinato da una serie di fattori contestuali. Questi possono includere l'identità dell'utente, il ruolo nell'organizzazione, la sensibilità della risorsa richiesta, il dispositivo in uso e così via.

Come delineato dal National Institute of Standards and Technology (NIST) in Pubblicazione speciale 800-207, l'approccio Zero Trust si basa su diverse filosofie fondamentali. Fondamentalmente, ci sono tre principi Zero Trust integrati in questa politica di sicurezza unica:

• Autenticazione continua: Si riferisce ai mezzi per garantire un accesso sicuro basato su livelli di rischio accettabili. In linea con l'approccio Zero Trust, è necessario autorizzare gli utenti in base a identità, posizione, dispositivo, servizio, carico di lavoro, classificazione dei dati e così via. Dopo questa analisi contestuale, è possibile autorizzare l’accesso all'utente o richiedergli di fornire informazioni aggiuntive tramite un'altra verifica di autenticazione oppure, se il rischio è molto elevato, verrà bloccato.
• Presumere una violazione: Le organizzazioni dovrebbero sempre presumere una violazione dei dati. Ciò significa che devono continuamente segmentare la rete a livello granulare per ridurre o limitare la superficie di attacco, verificare il traffico end-to-end e massimizzare la visibilità sulle attività degli utenti/dispositivi. Ciò consente loro di guidare il rilevamento delle minacce, individuare le anomalie e migliorare sempre le proprie difese.
• Accesso secondo il privilegio minimo: L'accesso dovrebbe essere limitato in base a criteri di controllo degli accessi just-in-time e just-enough. In altre parole, gli utenti e/o i dispositivi dovrebbero avere solo il permesso di utilizzare le risorse di cui hanno bisogno per svolgere il proprio lavoro e completare attività critiche.

Nel 2021, la Cybersecurity & Infrastructure Security Agency (CISA) ha creato una roadmap per fornire indicazioni alle agenzie federali che implementano lo Zero Trust. Questo documento è noto come Modello di maturità Zero Trust e può essere sfruttato dalle organizzazioni come uno dei tanti percorsi per progettare e implementare la propria pratica Zero Trust nelle seguenti aree di rischio:

• Identità: Quest'area è incentrata sulla verifica e l'autorizzazione di utenti e dispositivi prima di concedere l'accesso alla rete. Può includere l'implementazione di una soluzione di gestione delle identità e degli accessi (IAM) o di un'autenticazione a più fattori (MFA).
• Dispositivi: Qualsiasi dispositivo, dall'IoT ai dispositivi mobili personali, connesso alla rete aziendale può essere sfruttato per compromettere i dati sensibili. Questo pilastro prevede la creazione di un inventario di tutte le connessioni e il monitoraggio della loro integrità per il rilevamento rapido delle minacce.
• Reti: Una rete Zero Trust protegge tutto il traffico indipendentemente dalla posizione o dalla risorsa e si segmenta per limitare il movimento laterale.
• Applicazioni e carichi di lavoro: Questo pilastro prevede la protezione dei carichi di lavoro on-premise e basati su cloud tramite criteri di accesso a livello di applicazione e altri meccanismi.
• Dati: Tutti i dati a riposo, in uso o in movimento sono crittografati, monitorati e protetti per impedire la divulgazione non autorizzata.

È importante notare che non esiste una soluzione o un fornitore Zero Trust definitivi. Zero Trust è un cambiamento culturale e di mentalità, oltre che tecnologico. E quando si parla di tecnologia, le aziende necessitano di una serie di strumenti, spesso stratificati per formare un'architettura Zero Trust (ZTA).

Ad alto livello, alcune di queste tecnologie includono:

• Biometria comportamentale
• Autenticazione adattiva basata sul rischio
• Microsegmentazione
• Consapevolezza contestuale
• Single sign-on (SSO)
• Accesso senza password

Sebbene il termine Zero Trust esista già da tempo, la direzione concreta su come implementarlo è ancora piuttosto nuova. Tuttavia, molte organizzazioni si stanno preparando a gettarsi a capofitto nei suoi principi. Infatti, lo studio 2024 State of Zero Trust & Encryption ha mostrato che il 61% delle organizzazioni intervistate dal Ponemon Institute ha avviato il proprio percorso Zero Trust. Inoltre, Gartner prevede che entro il 2026 almeno il 10% delle grandi imprese avrà un'architettura Zero Trust matura e misurabile.

Una volta considerati i vantaggi, è chiaro capire perché è così. Una solida politica di sicurezza Zero Trust ti consente di:

• Ridurre il rischio organizzativo riducendo al minimo la fiducia implicita e andando oltre la tradizionale sicurezza di rete
• Supportare la conformità salvaguardando i dati sensibili e mitigando i vettori delle minacce
• Proteggere le implementazioni multi-cloud e ibride con il controllo degli accessi a livello di applicazione
• Sostituire o potenziare una VPN per rafforzare l'accesso remoto e la crittografia
• Integrare rapidamente i dipendenti e scalare la tua attività con la certezza che la superficie di attacco sia ben difesa

In generale, il processo di implementazione può essere suddiviso in pochi passaggi fondamentali:

1. Identifica la superficie di protezione: In altre parole, valuta tutte le risorse critiche, inclusi endpoint, utenti, applicazioni, server e data center, che gli hacker potrebbero prendere di mira.
2. Mappa dove risiedono i tuoi dati e i loro flussi: Ciò consente di ispezionare e verificare le transazioni di rete per garantire che solo gli utenti e le applicazioni giusti abbiano accesso alle risorse giuste.
3. Adotta un approccio basato sull'identità: Senza il tradizionale perimetro di sicurezza, il nuovo limite è dato dall'identità ed è ora fondamentale nella sicurezza dei dati. Per questo motivo, le tecnologie di gestione dell'identità e dell'accesso basate su certificati sono fondamentali per tenere le risorse critiche fuori dalle mani sbagliate.
4. Monitora, mantieni, migliora: Il monitoraggio continuo dell'ambiente non solo semplifica il rilevamento dei rischi, ma consente anche di individuare in modo proattivo le vulnerabilità e mitigarle in tempo reale. Per credenziali quali chiavi, certificati e segreti, la gestione del ciclo di vita e l'automazione sono una necessità.

È opportuno sottolineare che l'implementazione di Zero Trust richiede tempo e non è esente da ostacoli. Con una vasta gamma di politiche, procedure e tecnologie necessarie, il processo è spesso un impegno pluriennale.

Inoltre, i sistemi tradizionali rappresentano un'altra sfida scoraggiante, poiché molti strumenti meno recenti non possono funzionare o supportare alcuni principi Zero Trust. Sostituire i controlli di sicurezza esistenti e modernizzare la tecnologia può essere un processo costoso e i vincoli finanziari potrebbero introdurre ulteriori barriere.

Alla luce di questi fattori, è meglio adottare un approccio graduale e iterativo. Prendendo tempo e apportando modifiche incrementali, la tua posizione di sicurezza migliorerà e si rafforzerà nel tempo.

Consulta questa guida per maggiori dettagli su come implementare Zero Trust.

Noi di Entrust sappiamo che la Zero Trust è una best practice per la sicurezza informatica aziendale. Ecco perché abbiamo sviluppato un portafoglio di soluzioni che possono gettare delle solide basi per la tua architettura Zero Trust.

Collettivamente, la nostra soluzione è progettata per coprire le basi e mantenerti protetto attraverso tre componenti critici:

• Identità resistenti ai tentativi di phishing: Le credenziali rubate e compromesse sono due delle cause principali più comuni delle violazioni dei dati. Combiniamo MFA, sicurezza senza password, criteri di controllo adattivi, dati biometrici e altri strumenti per mitigare il rischio di attacchi basati sull'identità.
• Protezione delle infrastrutture critiche: Poiché i dati si spostano costantemente attraverso reti pubbliche e private e il numero di utenti e macchine che tentano di accedervi è in continuo aumento, è necessario proteggere queste connessioni ed entità. I certificati digitali sono una componente fondamentale per ottenere una pratica di sicurezza matura e resiliente, in quanto forniscono un' identità forte, la cifratura e la firma, oltre a imporre il controllo degli accessi.
• Dati sicuri: Il nostro portafoglio crittografa i dati inattivi, in uso e in movimento mantenendo al contempo un'infrastruttura chiave decentralizzata. Ciò garantisce la riservatezza, l'integrità e l'accesso sicuro, soddisfacendo al contempo severi requisiti di conformità.

Più che un semplice fornitore, siamo il tuo partner in ogni fase del processo.