L'approccio alla sicurezza Zero Trust è – come indica chiaramente l'espressione anglosassone – una filosofia di cybersecurity che si basa sul concetto secondo cui le organizzazioni, per principio, non dovrebbero fidarsi di nessuno.
Si tratta di una regola assoluta: sicurezza Zero Trust significa non considerare affidabili nemmeno gli utenti interni o i dispositivi registrati e riconosciuti come sicuri. Il modello, teorizzato originariamente da Forrester Research nel 2010, si basa essenzialmente sull’assunto per cui le minacce possono provenire sia dall'interno che dall'esterno dell'organizzazione e che, per questo, è necessario monitorare e verificare ogni accesso a qualsiasi asset aziendale.
Sicurezza Zero Trust, i 3 principi
Semplificando, i principi chiave della sicurezza Zero Trust, sono tre.
- Autenticazione continua: l’approccio alla sicurezza Zero Trust impone la verifica continua delle identità degli utenti e dell'integrità dei dispositivi. Ciò garantisce che solo le entità autorizzate accedano alle risorse, indipendentemente dalla loro posizione o dall'ambiente di rete.
- Controlli di accesso rigorosi: l’approccio alla sicurezza Zero Trust applica la logica del minimo privilegio: ciò vuol dire concedere agli utenti e ai dispositivi solo l'accesso minimo necessario per svolgere i loro compiti. Le autorizzazioni di accesso vengono inoltre fornite in modo dinamico e in tempo reale, in base al contesto attuale, e monitorate costantemente per individuare le anomalie e per gestire gli incidenti informatici tempestivamente.
- Micro-segmentazione: un'architettura pensata per implementare una sicurezza Zero Trust divide la rete in segmenti più piccoli e isolati, limitando il movimento laterale di potenziali aggressori. Ogni segmento è protetto da rigidi controlli di accesso e monitorato per rilevare eventuali attività sospette che possono essere sintomo di data breach.
Come costruire un'architettura di sicurezza Zero Trust: 5 pilastri
Con la sicurezza Zero Trust, pertanto, la diffidenza si fa non solo istituzione, ma anche strategia, incardinando tutti i processi di cybersecurity e ridisegnando l'architettura IT secondo i principi appena evidenziati. Dal punto di vista prettamente tecnologico, la Zero Trust può essere definita come un'architettura di sicurezza costruita per ridurre la superficie di attacco di una rete, impedire il movimento laterale delle minacce e ridurre il rischio di violazione dei dati.
Sono cinque i pilastri che compongono l'architettura Zero Trust, e sono stati definiti per la prima volta dalla Cybersecurity and Infrastructure Security Agency degli Stati Uniti per illustrare le capacità che le agenzie governative e, in generale, tutte le tipologie di organizzazione dovrebbero sviluppare nelle loro strategie di sicurezza. Più nel dettaglio, si parla di cinque aree di intervento, ciascuna corredata da azioni specifiche.
- Identità: occorre passare a un approccio alla gestione dell'identità basato sull'accesso meno privilegiato.
- Dispositivi: è essenziale garantire l'integrità dei dispositivi utilizzati per accedere a servizi e dati.
- Reti: bisogna allineare la segmentazione e le protezioni della rete in base alle esigenze dei flussi di lavoro delle applicazioni, piuttosto che sulla fiducia implicita insita nella segmentazione di rete tradizionale.
- Applicazioni e carichi di lavoro: è ideale integrare le protezioni con i flussi di lavoro delle applicazioni, consentendo l'accesso alle applicazioni in base a identità e conformità dei dispositivi.
- Dati: occorre passare a un approccio alla cybersecurity incentrato sui dati, iniziando con l'identificazione, la categorizzazione e l'inventario delle risorse di dati.
Attenzione però: la sicurezza Zero Trust è ben più della mera somma delle soluzioni e delle metodologie necessarie a implementare controlli di identità dell'utente, processi di segmentazione e procedure di accesso sicuro. È, a tutti gli effetti, un approccio olistico alla cybersecurity, volto a creare un vero e proprio ecosistema di sicurezza a 360 gradi.
Perché conviene una strategia di sicurezza Zero Trust
Uno dei principali benefici generati dall'approccio Zero Trust è, come intuibile, la protezione potenziata per quanto riguarda i dati sensibili aziendali. Poiché ogni richiesta di accesso viene valutata singolarmente attraverso la verifica continua dell'identità dell'utente e del dispositivo, le organizzazioni possono ridurre il rischio di violazioni della sicurezza causate involontariamente.
Senza dimenticare che una strategia di sicurezza Zero Trust è capace di migliorare il livello di compliance normativa – si pensi alla Direttiva NIS2 - poiché le organizzazioni riescono a documentare con sempre maggiore precisione le azioni intraprese per conformarsi alle linee guida e i regolamenti relativi alla data protection.
A questi benefici si aggiunge il maggiore grado di visibilità e controllo sull'ambiente IT. Dato che tutte le attività degli utenti e dei dispositivi vengono tenute sotto controllo e analizzate in real time, le organizzazioni possono identificare rapidamente le minacce e rispondere in modo via via più efficace.
Infine, la Zero Trust può aiutare le organizzazioni a ridurre i costi legati alla gestione della cybersecurity, permettendo di consolidare le soluzioni di sicurezza e limitando l’ingerenza di violazioni che impattano direttamente sulle finanze aziendali.
