Cos'è la zero-trust?

Lo zero-trust è un modello di sicurezza basato sul principio che nessun utente o dispositivo dovrebbe essere considerato attendibile per impostazione predefinita. Invece di presumere che qualsiasi cosa all'interno della rete sia sicura, il modello zero-trust richiede una verifica continua ed esplicita di tutti gli utenti e dispositivi, indipendentemente dalla loro posizione. Piuttosto che concentrarsi su da dove qualcuno sta effettuando l'accesso, lo zero-trust si concentra su chi è e se dovrebbe avere accesso. L'accesso ai sistemi e ai dati è strettamente controllato, concesso solo a chi ne ha bisogno e solo per il tempo necessario.

I principi essenziali della zero-trust

Lo zero-trust si basa su tre principi essenziali:

Sospettare una violazione. Presuppone che qualsiasi utente sulla rete (umano o macchina) possa essere compromesso in qualsiasi momento.
Verificate in modo esplicito. Tutti gli utenti umani e le macchine devono dimostrare di essere chi dichiarano di essere prima di accedere alla rete dell'organizzazione, inclusi tutti i sistemi, le app e i dati.
Fate in modo che i privilegi siano minimi. Una volta effettuato l'accesso alla rete, gli utenti devono disporre della quantità minima di accesso alla rete necessaria per svolgere il proprio lavoro e niente di più.

Come funziona lo zero-trust

Il modello zero-trust parte dal presupposto che ogni connessione, utente e dispositivo possa rappresentare una potenziale minaccia. Pertanto, l'accesso deve essere verificato continuamente in ogni punto. Ecco come funziona:

1. Nessuna fiducia implicita, in nessun luogo

In un ambiente zero-trust, nessun utente o dispositivo è considerato affidabile per impostazione predefinita, sia che si trovi all'interno o all'esterno della rete aziendale. Ogni richiesta di accesso viene trattata come se provenisse da una rete aperta e non attendibile. Questo significa che l'autenticazione e l'autorizzazione sono applicate prima e durante l'accesso a qualsiasi risorsa.

2. Verifica continua

Una volta che un utente è autenticato, non significa che ha accesso illimitato. Lo zero-trust utilizza la verifica continua, il che significa che gli utenti devono dimostrare ripetutamente la loro identità e il livello di sicurezza del dispositivo mentre navigano nel sistema. Questo viene spesso fatto tramite:

Autenticazione a più fattori (MFA)
Verifiche dello stato di salute del dispositivo
Accesso contestuale (es. posizione, ora del giorno, ruolo)

3. Accesso con privilegi minimi

Agli utenti e alle applicazioni viene concesso il livello minimo di accesso necessario per svolgere le attività. Questo principio, noto come accesso con privilegi minimi, riduce la superficie di attacco e limita i danni in caso di compromissione. Controlli di accesso basati sui ruoli (RBAC) e politiche basate sugli attributi applicano queste regole dinamicamente.

4. Microsegmentazione

Piuttosto che avere una rete unica e aperta, il modello zero-trust segmenta la rete in zone più piccole, ciascuna con i propri controlli di accesso. Questo processo, noto come microsegmentazione, garantisce che anche se un segmento viene violato, il criminale informatico non possa spostarsi lateralmente verso gli altri.

5. Visibilità e analisi

Lo zero-trust si basa anche su un monitoraggio e una registrazione completi. Ogni richiesta di accesso e azione viene registrata e analizzata per rilevare anomalie, scoprire minacce e garantire la conformità.

Vantaggi del modello zero-trust

Lo zero-trust offre un'ampia gamma di vantaggi, motivo per cui sta diventando il modello di sicurezza preferito per le organizzazioni moderne.

Maggiore visibilità per i team IT e della sicurezza: Lo zero-trust offre agli amministratori una visibilità completa su utenti, sistemi e dispositivi nell'ambiente dei dati. Possono vedere chi si connette alla rete, da dove si connette e a cosa accede.
Accesso sicuro e flessibile per gli utenti: Poiché la zero-trust consente a persone, app e servizi di comunicare in modo sicuro, anche tra reti diverse, gli utenti ricevono più libertà e flessibilità. Possono connettersi in modo sicuro da casa propria o da altri luoghi distanti, anche usando i propri dispositivi.
Maggiore protezione contro gli attacchi: Lo zero-trust riduce il rischio di violazioni dei dati richiedendo un'autenticazione continua e una verifica dei dispositivi. RBAC e Gestione degli accessi privilegiati (PAM) riducono al minimo il rischio di escalation dei privilegi in caso di violazione.
Conformità più semplice e meno problemi di audit: Lo zero-trust supporta la conformità normativa applicando rigidi controlli di accesso e segmentando i dati sensibili. L'RBAC e la (micro)segmentazione della rete supportano le attività di conformità e producono un numero minore di riscontri durante le verifiche di conformità

Come implementare la zero-trust

Una delle sfide più grandi nell'implementare una strategia di sicurezza zero-trust è la mancanza di standard di implementazione universali. Molte organizzazioni si affidano al processo in sette fasi delineato nella NIST Special Publication 800-207:

1. Identificare gli utenti

Questo include sia gli utenti umani che le identità non umane, come gli account di servizio. Il NIST osserva che gli utenti privilegiati, inclusi gli amministratori e gli sviluppatori IT, necessitano di un controllo speciale, poiché questi utenti possono avere accesso illimitato alle risorse digitali. In un framework zero-trust, anche gli account privilegiati dovrebbero avere privilegi minimi e l'attività dell'account deve essere monitorata e registrata.

2. Identifica e gestisci tutte le risorse connesse alla rete

Identificare e gestire tutte le risorse che si collegano alla rete organizzativa è fondamentale per la buona riuscita dell'implementazione zero-trust. Questo include:

PC portatili, dispositivi mobili, dispositivi IoT e altri componenti hardware.
Artefatti digitali, come applicazioni e certificati digitali.
Dispositivi non di proprietà dell'organizzazione, ma che possono connettersi alla sua infrastruttura di rete o accedere alle risorse di rete.

Il NIST ammette che potrebbe non essere possibile stilare un elenco completo delle risorse, pertanto le organizzazioni dovrebbero garantire di riuscire a "identificare, categorizzare e valutare in modo rapido le risorse scoperte di recente che sono nell'infrastruttura di proprietà dell'azienda."

Oltre a catalogare le risorse, in questa fase si gestisce e si monitora la configurazione, in quanto la capacità di osservare lo stato attuale di una risorsa fa parte della procedura di autenticazione zero-trust.

3. Identificare le procedure chiave, valutarne i rischi e identificare i "candidati" alla zero-trust

Identificare, categorizzare e valutare i rischi delle procedure aziendali dell'organizzazione e i flussi di dati, inclusa la loro importanza per la missione della vostra organizzazione. In questo modo sarete informati su quali procedure siano buone candidate iniziali per la distribuzione zero-trust. Il NIST raccomanda di iniziare con le procedure che dipendono da risorse basate sul cloud e/o che vengono utilizzate da dipendenti in remoto, in quanto sono queste che apportano i miglioramenti alla sicurezza più immediati.

4. Formulare regole zero-trust per i "candidati"

Si tratta della continuazione della fase 3. Dopo aver identificato una risorsa o un flusso di lavoro da far migrare alla zero-trust, identificate tutte le risorse upstream e downstream che la risorsa o il flusso di lavoro utilizza o coinvolge. Questa operazione contribuisce a rendere definitivi gli iniziali "candidati" per la migrazione alla zero-trust e a garantire che i privilegi minimi e altre regole applicate loro raggiungano il massimo livello di sicurezza senza ostacolare il flusso di lavoro.

5. Identificare e selezionare i set di strumenti/le soluzioni

Esistono molte soluzioni compatibili con lo zero-trust sul mercato, ma non tutte sono adatte all'ambiente di dati specifico e alle esigenze aziendali. NIST consiglia di considerare quanto segue nella scelta degli strumenti zero-trust:

La soluzione richiede che i componenti vengano installati sulla risorsa del client? Questo potrebbe limitare le procedure aziendali.
La soluzione funziona nei casi in cui le risorse per la procedura aziendale siano presenti in sede? Alcune soluzioni presumono che le risorse richieste risiedano nel cloud (il cosiddetto "traffico nord-sud") e non all'interno del perimetro aziendale (traffico est-ovest). In tal modo si crea un problema negli ambienti cloud ibridi, dove le applicazioni line-of-business (LOB) obsolete, che però svolgono funzioni essenziali, potrebbero essere eseguite in sede perché per loro la migrazione al cloud non è fattibile.
La soluzione fornisce un mezzo per registrare le interazioni per l'analisi? Le decisioni per l'accesso zero-trust dipendono enormemente sulla raccolta e sull'uso dei dati legati al flusso della procedura.
La soluzione fornisce ampio supporto per varie applicazioni, servizi e protocolli? Alcune soluzioni possono supportare un'ampia gamma di protocolli (SSH, web, ecc.) e di trasporti (IPv4 e IPv6), ma altre possono funzionare solo con il web o l'e-mail.
La soluzione richiede modifiche ai flussi di lavoro esistenti? Alcune soluzioni potrebbero richiedere ulteriori fasi per lo svolgimento di un dato flusso di lavoro, il quale potrebbe richiedere delle modifiche da parte dell'organizzazione.

6. Avviare la distribuzione iniziale e il monitoraggio

Il NIST raccomanda che le imprese considerino inizialmente l'implementazione della zero-trust nella "modalità monitoraggio", in modo che i team IT e di sicurezza possano garantire l'entrata in vigore e la fattibilità delle regole e delle procedure. Inoltre, una volta stabilite le attività dell'utente di riferimento e quelle della rete, i team di sicurezza riusciranno meglio a identificare i comportamenti anomali lungo il percorso.

7. Espandere l'architettura zero-trust

Dopo il lancio iniziale dello zero-trust, è il momento di migrare il prossimo gruppo di candidati. Questo passaggio è continuo: ogni volta che si verificano modifiche all'ambiente dei dati o ai flussi di lavoro dell'organizzazione, l'architettura zero-trust deve essere rivalutata e regolata di conseguenza.