Settore pubblico 
Cybersecurity Maturity Model Certification (CMMC) è un quadro di riferimento del Dipartimento della difesa (DoD) creato affinché le organizzazioni che gestiscono informazioni federali mantengano controlli adeguati
Pubblicato il Aprile 15, 2026
Zero-trust è un framework di sicurezza informatica basato sul principio “mai fidarsi, verificare sempre”, il che significa che ogni utente, dispositivo e sessione deve essere verificato continuamente per garantire e mantenere l’accesso. Negli ambienti federali, il principio zero-trust è particolarmente critico perché gli account privilegiati possono fornire accesso a sistemi, infrastrutture e dati sensibili. Le agenzie governative possono applicare la sicurezza zero-trust adottando una piattaforma di sicurezza delle identità con gestione degli accessi privilegiati (PAM) che autentica continuamente le richieste di accesso, impone l’accesso con privilegi minimi e fornisce visibilità in tempo reale sulle attività privilegiate.
Continua a leggere per scoprire come le agenzie possono proteggere l’accesso privilegiato con una piattaforma di sicurezza dell’identità e come Keeper® applica i principi dello zero-trust per proteggere l’accesso in ambienti federali e aziendali.
Perché la sicurezza zero-trust è importante per le agenzie governative
La sicurezza zero-trust non è più semplicemente una raccomandazione per le agenzie governative; è obbligatoria a livello federale. L’Executive Order 14028, emesso nel 2021, ha ordinato alle agenzie di modernizzare le proprie pratiche di sicurezza informatica, inclusa l’adozione di un’architettura zero-trust. Nel 2022, l’Office of Management and Budget (OMB) ha emesso il Memorandum M-22-09, ordinando alle agenzie federali civili di soddisfare specifici requisiti di sicurezza zero-trust e di implementarli nei loro ambienti. Il Dipartimento della Guerra (DoW) ha inoltre pubblicato la sua Strategia zero-trust nel 2022, illustrando il piano per implementare completamente un quadro di cybersecurity a livello aziendale e zero-trust entro settembre 2027. Man mano che il DoW si avvicina all’implementazione, permangono lacune nella visibilità dei dati, nella governance delle identità, in particolare per le Identità Non Umane (NHI) e gli agenti AI, e nell’applicazione del modello zero-trust ai sistemi legacy e operativi. Questi mandati e strategie dimostrano un passaggio dalla sicurezza tradizionale basata sul perimetro a un modello incentrato sui dati.
Poiché gli ambienti federali sono ora distribuiti tra sistemi on-premise, ibridi e cloud, è essenziale verificare continuamente ogni utente, dispositivo e sessione. I sistemi federali supportano i servizi pubblici, le operazioni di sicurezza nazionale e i dati sensibili, il che significa che un singolo account privilegiato compromesso può portare a movimenti laterali, interruzioni operative o accesso non autorizzato a informazioni classificate. Zero-trust aiuta le agenzie a ridurre i rischi, a far rispettare controlli di accesso dettagliati e a soddisfare i requisiti federali su larga scala.
I pilastri dello zero-trust negli ambienti federali
La Cybersecurity and Infrastructure Security Agency (CISA) definisce il modello zero-trust attraverso cinque pilastri nel suo Modello di maturità zero-trust. Ecco i modi in cui PAM svolge un ruolo in tutti e cinque i pilastri dello zero-trust:
| Pillar of zero trust | What it means for federal agencies | How PAM supports it |
|---|---|---|
| Identity | Verify employees, third-party vendors, contractors, machines and AI agents before granting access | Enforces strong authentication and time-limited, role-based access |
| Devices | Ensure both government-issued and personal endpoints are trusted before granting access | Restricts privileged access on unmanaged or unfamiliar devices |
| Networks | Secure access beyond traditional perimeter-based models | Works with Zero-Trust Network Access (ZTNA) to secure identity-based connections |
| Applications and workloads | Protect access across on-premises, hybrid and cloud systems | Secures sessions and enables credential injection |
| Data | Secure sensitive and classified data | Enforces least privilege and logs all privileged activity |
Le sfide che le agenzie federali devono affrontare nell’adozione dello zero-trust
L’implementazione dello zero-trust negli ambienti federali è complessa a causa dei sistemi legacy, dei rigorosi requisiti di conformità e dell’infrastruttura distribuita.
I sistemi legacy limitano l’autenticazione moderna
Molte agenzie si affidano ancora a sistemi legacy che non supportano l’autenticazione moderna come l’autenticazione multifattoriale (MFA). Aggiornare questi sistemi può essere difficile e rischioso poiché i cambiamenti potrebbero interrompere operazioni critiche. Ad esempio, i sistemi che supportano le voci dei cittadini o l’elaborazione dei benefici spesso funzionano su infrastrutture on-premise più vecchie che non possono facilmente integrarsi con i controlli moderni, creando lacune di sicurezza sfruttabili.
Requisiti di conformità complessi
Le organizzazioni federali devono rispettare quadri come il Federal Information Security Modernization Act (FISMA) e soddisfare i requisiti di autenticazione indicati dalla Pubblicazione Speciale 800-63B del NIST. Le organizzazioni della difesa e gli appaltatori devono inoltre soddisfare la Cybersecurity Maturity Model Certification (CMMC), che si applica a chi protegge le informazioni non classificate controllate (CUI) nell’ambito di contratti DoW. Dimostrare l’accesso con privilegi minimi e mantenere le tracce di audit sono tipicamente processi manuali e tediosi che richiedono tempo e risorse significative.
Ambienti decentralizzati e multi-cloud
Gli ambienti IT federali sono molto decentralizzati e comprendono piattaforme on-premise e cloud, con utenti remoti e appaltatori di terze parti distribuiti in diverse regioni. Questa architettura senza perimetro rende difficile applicare controlli di accesso coerenti e mantenere la visibilità sulla supply chain, aumentando il rischio di configurazioni errate e accessi non autorizzati.
Le credenziali privilegiate non gestite aumentano il rischio
Le credenziali privilegiate consentono l’accesso a sistemi critici, tra cui infrastrutture di servizio pubblico, sistemi finanziari e piattaforme di identità. Se compromesse, possono consentire ai criminali informatici di spostarsi lateralmente e accedere a dati sensibili, come i dati dei cittadini o le informazioni sanitarie. Senza adeguati controlli in atto, gli account privilegiati compromessi con ampio accesso amministrativo possono mettere a rischio la sicurezza dei sistemi critici e dei dati sensibili.
Vantaggi di una soluzione PAM zero-trust per le agenzie governative
Sebbene lo zero-trust richieda la verifica continua di utenti e dispositivi, PAM garantisce che l’accesso privilegiato sia attentamente monitorato, controllato e limitato. I principali vantaggi dell’implementazione di una soluzione PAM zero-trust in ambienti federali includono:
- Ridurre la superficie di attacco eliminando gli accessi permanenti: concedi l’accesso solo quando è necessario e per un periodo di tempo limitato tramite Zero Standing Privileges (ZSP), riducendo al minimo il numero di account sfruttabili.
- Prevenire violazioni basate su credenziali con controlli di accesso granulari: applica il principio del privilegio minimo, proteggi le credenziali privilegiate e riduci il rischio di furto di credenziali e spostamento laterale.
- Raggiungere la conformità continua con visibilità in tempo reale: ottieni un monitoraggio centralizzato delle sessioni, audit trail e report conformi ai requisiti FISMA, NIST e CMMC.
- Migliorare l’efficienza operativa con la gestione centralizzata degli accessi: snellisci l’applicazione e il provisioning delle politiche riducendo i processi manuali e il rischio di errori umani.
- Ambienti ibridi e multi-cloud sicuri: applica controlli di accesso uniformi e visibilità su sistemi on-premise, ibridi e cloud.
Come Keeper garantisce la sicurezza zero-trust per le agenzie federali
Consolidando la gestione delle password aziendali, la gestione dei segreti, la gestione delle sessioni privilegiate e la gestione dei privilegi degli endpoint in una piattaforma cloud-native autorizzata FedRAMP High, Keeper consente alle agenzie di proteggere i sistemi critici e controllare l’accesso privilegiato su tutta la catena di fornitura.
Applica lo zero-trust su sistemi legacy e moderni
Molte organizzazioni federali si affidano a un mix di sistemi legacy e moderni, rendendo difficile garantire un’applicazione uniforme delle policy di sicurezza. Keeper risolve questo problema attraverso l’intermediazione crittografata delle sessioni via Keeper Gateway, consentendo un accesso sicuro senza esporre credenziali o richiedere modifiche all’infrastruttura. Inoltre, le agenzie possono imporre la MFA su tutti i sistemi, inclusi gli ambienti legacy che non la supportano nativamente, mantenendo però le credenziali nascoste agli utenti finali. Ciò consente alle organizzazioni federali di applicare controlli zero-trust a sistemi legacy obsoleti senza interrompere le operazioni.
Implementare il principio del minimo privilegio con accesso Just-in-Time (JIT)
Keeper supporta la sicurezza zero-trust imponendo l’accesso con privilegio minimo tramite il provisioning Just-in-Time (JIT). Invece di concedere l’accesso permanente, i privilegi vengono assegnati in base al ruolo e al contesto per un periodo limitato e vengono automaticamente revocati quando non sono più necessari. Questo aiuta a eliminare gli accessi permanenti, ridurre il rischio di minacce interne e minimizzare le opportunità per i criminali informatici di sfruttare account privilegiati.
Semplifica la conformità con la gestione delle sessioni con privilegi
Keeper offre il monitoraggio e la registrazione delle sessioni privilegiate, catturando l’attività dello schermo e della tastiera per una visibilità completa. Le organizzazioni dovrebbero verificare che le pratiche di registrazione delle sessioni siano in linea con le politiche applicabili delle agenzie e con i requisiti federali di monitoraggio della forza lavoro prima dell’implementazione. Tutte le attività privilegiate vengono registrate e possono essere integrate con gli strumenti SIEM. KeeperDB estende i controlli zero-trust all’accesso al database tramite l’iniezione di credenziali. Gli utenti si connettono ai database direttamente dalla Cassaforte Keeper senza che le credenziali sottostanti vengano mai esposte. Questo aiuta le agenzie federali a proteggere i dati sensibili e a garantire la conformità con FISMA, NIST SP 800-53 e CMMC.
Rafforza l’accesso alla rete zero-trust (ZTNA)
Keeper estende l’accesso sicuro abilitando connessioni basate sull’identità senza le tradizionali reti private virtuali (VPN). Keeper sostituisce le tradizionali soluzioni di accesso alla rete zero-trust (ZTNA), consentendo alle agenzie di garantire che gli utenti siano autenticati e autorizzati prima di accedere ai sistemi da qualsiasi luogo. Se combinato con PAM, lo ZTNA garantisce sia un accesso sicuro che un controllo rigoroso sulle azioni degli utenti all’interno dei sistemi.
Estendi il principio zero-trust agli endpoint
La sicurezza zero-trust deve estendersi oltre l’infrastruttura per includere i dispositivi. Keeper Endpoint Privilege Manager applica il principio del privilegio minimo a livello di endpoint su sistemi Windows, macOS e Linux. Eliminando diritti di amministratore persistenti e ampi e consentendo l’elevazione dei privilegi basata sui compiti, le agenzie possono ridurre al minimo il rischio di minacce interne e prevenire cambiamenti non autorizzati.
Rileva le minacce in tempo reale con KeeperAI
KeeperAI analizza le sessioni privilegiate in tempo reale utilizzando analisi comportamentali avanzate per rilevare attività sospette e classificare i livelli di rischio. Gli amministratori possono configurare risposte automatiche, inclusa la terminazione delle sessioni, basandosi su soglie di rischio definite, con controlli per minimizzare i falsi positivi e supportare la revisione umana. Quando viene rilevata un’attività ad alto rischio, KeeperAI può terminare automaticamente una sessione prima che potenziali minacce informatiche si aggravino, aiutando le organizzazioni federali a rispondere più rapidamente agli incidenti di sicurezza e a minimizzare l’impatto degli attacchi informatici.
Potenzia la cybersecurity federale con Keeper
L’EO 14028 e l’OMB M-22-09 hanno stabilito lo zero-trust non come best practice ma come requisito federale. Rispettare tali obblighi su infrastrutture legacy, ambienti cloud distribuiti e un contesto complesso di conformità richiede una piattaforma progettata appositamente per la sicurezza federale. Keeper è autorizzato FedRAMP High e progettato per gli ambienti federali e aziendali di oggi, consentendo alle agenzie di applicare il privilegio minimo e garantire l’accesso sicuro attraverso infrastrutture legacy e cloud. Per vedere come Keeper può aiutare la tua agenzia a far rispettare la sicurezza zero-trust e ottenere visibilità in tempo reale delle attività privilegiate, richiedi una demo.
