Tra le minacce informatiche più comuni che il settore retail deve affrontare vi sono gli attacchi ransomware, il social engineering, le intrusioni nei sistemi e le
Aggiornato il 9 aprile 2024.
Zero trust e zero knowledge sembrano simili, ma si riferiscono a diversi concetti di sicurezza informatica. La differenza principale tra sicurezza zero-trust e sicurezza zero-knowledge è che la zero-trust si riferisce alla sicurezza della rete, mentre zero-knowledge si riferisce alla privacy dei dati. Entrambe sono importanti per evitare che le informazioni sensibili cadano nelle mani sbagliate.
Continua a leggere per scoprire di più su sicurezza zero trust e zero knowledge, le differenze principali tra loro e perché le organizzazioni hanno bisogno di entrambe.
Che cos’è la sicurezza zero-trust?
La sicurezza zero-trust è un framework di sicurezza informatica che richiede agli utenti e ai dispositivi un’autenticazione continua. Ipotizza che ogni utente e dispositivo potrebbe essere compromesso e non si fida automaticamente di nessuno all’interno o all’esterno della rete dell’organizzazione. Chiunque e qualsiasi cosa, uomo o macchina, deve essere continuamente ed esplicitamente verificato prima di accedere alla rete.
Una volta che l’utente o la macchina hanno ottenuto l’accesso alla rete, riceve la quantità minima di accesso alla rete richiesta per svolgere il suo lavoro. Non potrà accedere a nient’altro all’interno della rete. Questa limitazione dell’accesso impedisce ai cybercriminali di accedere ad altre informazioni sensibili se l’account di un utente viene compromesso. La sicurezza zero-trust non si concentra su dove l’utente si connette, ma su chi è.
La zero-trust si compone di tre principi fondamentali:
- Ipotizzare una violazione: la zero-trust ipotizza che ogni utente o macchina che cerca di accedere alla rete di un’organizzazione potrebbe essere compromesso e portare a una violazione della sicurezza.
- Verificare esplicitamente: poiché la zero-trust elimina la fiducia implicita, gli utenti e le macchine devono dimostrare di essere chi dicono di essere, ogni volta che hanno bisogno di accedere.
- Garantire i privilegi minimi: una volta che un utente o una macchina è stato verificato e gli è stato garantito l’accesso, riceverà la quantità minima di accesso alla rete per svolgere il suo lavoro e niente di più.
Che cos’è la sicurezza zero-knowledge?
La sicurezza zero-knowledge è un modello di sicurezza che utilizza la crittografia e la segmentazione dei dati per mitigare gli effetti delle violazioni dei dati. Lo fa crittografando e decifrando i dati a livello di dispositivo, piuttosto che sui server dell’azienda o nel cloud. L’applicazione che utilizza la crittografia zero-knowledge non memorizza i dati in testo semplice e il provider di servizi non riceve mai tali dati in testo semplice. Le chiavi necessarie per decifrare i dati memorizzati sono disponibili solo per l’utente sul suo dispositivo. Questo fa sì che se il provider di servizi venisse violato, tutti i dati memorizzati rimarrebbero crittografati e protetti.
Differenze principali tra zero-trust e zero-knowledge
Le persone spesso confondono zero-trust e zero-knowledge perché entrambe migliorano la sicurezza di utenti e organizzazioni. Tuttavia, la sicurezza zero-trust può essere ricordata con lo slogan “non fidarti di nessuno”, mentre la sicurezza zero-knowledge può essere ricordata con lo slogan “non sappiamo nulla”. Ecco le differenze principali tra sicurezza zero-trust e zero-knowledge.
Zero Trust | Zero Knowledge | |
---|---|---|
Definition | Focuses on network security through continuous and explicit authentication and authorization of all users | Focuses on data security through encrypting and decrypting data on the device level |
Method of protection | Verification | Encryption |
Responsibility | Organization | Service provider |
Implementation techniques | Multi-Factor Authentication (MFA), network segmentation and least privilege access | 256-bit symmetric encryption and transport layer security from the service provider |
Perché le organizzazioni hanno bisogno sia della sicurezza zero-trust che della zero-knowledge
Le organizzazioni hanno bisogno sia di sicurezza zero-trust che di sicurezza zero-knowledge per evitare che i loro dati sensibili vengano compromessi attraverso accessi non autorizzati. Le organizzazioni devono affidare i loro dati a provider di servizi che utilizzano la crittografia zero-knowledge per garantire che l’organizzazione sia l’unica che può accedere ai dati.
Alcune organizzazioni sono passate a un ambiente ibrido utilizzando sia l’infrastruttura cloud che on-premise, rendendo la zero-trust fondamentale per proteggere i loro dati sensibili. La sicurezza zero-trust offre alle organizzazioni visibilità sulla loro infrastruttura e aiuta a ridurre il rischio di attacchi informatici. Con la sicurezza zero-trust, le organizzazioni possono vedere tutti gli utenti e le macchine che cercano di accedere alla loro rete, dove stanno cercando di connettersi e a cosa stanno cercando di accedere. Inoltre, aiuta a ridurre il rischio di attacchi informatici consentendo solo l’accesso agli utenti autorizzati e limitando tali utenti autorizzati alla quantità minima di accesso alla rete, impedendo i movimenti laterali dall’interno della rete.
La sicurezza zero-knowledge protegge i dati di un’organizzazione, anche se il provider di servizi venisse violato. Poiché il provider di servizi non può decifrare i dati dell’organizzazione, i cybercriminali che violano e rubano i dati dal provider di servizi hanno solo i dati in testo cifrato e non possono decifrarli. Inoltre, la zero-knowledge protegge i dati a riposo e in transito poiché i dati sono crittografati e decifrati solo sul dispositivo dell’utente. L’applicazione non memorizza mai i dati in testo semplice, il che vuol dire che il provider di servizi non può vederli. Quando i dati vengono sincronizzati su altri dispositivi, rimangono crittografati finché non sono decrittografati sull’altro dispositivo dall’utente. I dati in transito vengono protetti attraverso la crittografia delle chiavi di trasmissione, il che vuol dire che non possono essere intercettati e letti da utenti non autorizzati.
In che modo Keeper® è zero-trust e zero-knowledge
Keeper Security abilita la sicurezza zero-trust unendo le nostre soluzioni di gestione delle password, gestione dei segreti e gestione delle connessioni, il tutto basato sul nostro modello di crittografia zero-knowledge proprietario. Le organizzazioni hanno una visibilità completa sull’intera infrastruttura dati. I prodotti Keeper sono protetti con la crittografia zero-knowledge, garantendo che le organizzazioni siano le uniche ad accedere ai loro dati e nessun altro, nemmeno Keeper. Puoi leggere di più sulla nostra architettura di sicurezza qui.
Il modo migliore per implementare sicurezza zero-trust e zero-knowledge è con KeeperPAM. KeeperPAM™ combina Keeper Enterprise Password Manager (EPM), Keeper Secrets Manager® (KSM) e Keeper Connection Manager® (KCM) per offrire alle organizzazioni visibilità, sicurezza e controllo completi su ogni utente e dispositivo con privilegi nella tua organizzazione.