Cos'è la zero-trust?

• Glossario IAM
• Cos'è la zero-trust?

Zero-trust è una moderna framework di sicurezza che elimina la fiducia implicita, richiede la convalida continua ed esplicita di tutti gli utenti umani e i dispositivi e limita rigorosamente l'accesso ai sistemi di rete e ai dati. Invece di concentrarsi su dove gli utenti effettuano l'accesso, la zero-trust si concentra su chi siano.

Quali sono i principi essenziali della zero-trust?

La zero-trust si basa su tre principi fondamentali:

1. Sospettare una violazione. Nonostante le migliori difese di sicurezza, le violazioni alla fine accadono. Qualsiasi utente della vostra rete (umano o dispositivo) potrebbe ora essere compromesso. Prendete misure adeguate per ridurre al minimo il "raggio d'azione", come segmentare le reti, assicurare la crittografia end-to-end e usare strumenti di analisi smart per identificare le potenziali minacce.

2. Verificate in modo esplicito. Tutti gli utenti umani e le macchine devono dimostrare chi affermano di essere prima di poter accedere alla rete della vostra organizzazione e a tutti i sistemi, le app e i dati contenuti al loro interno.

3. Fate in modo che i privilegi siano minimi. Una volta effettuato l'accesso alla rete, gli utenti devono disporre della quantità minima di accesso alla rete di cui hanno bisogno per svolgere la propria mansione e garantire la produttività, e niente di più. Una distribuzione zero-trust include sempre i controlli degli accessi in base al ruolo (RBAC) con privilegi minimi.

Come funziona la sicurezza zero-trust?

Lo zero-trust elimina la fiducia implicita. Storicamente, i modelli di sicurezza della rete si fidavano implicitamente di tutti gli utenti e i dispositivi all'interno del perimetro della rete. Funzionava bene quando i componenti di rete e gli utenti erano quasi esclusivamente in sede. Tuttavia, grazie alla diffusa adozione del cloud computing e, più recentemente, del telelavoro, il “perimetro di rete” non esiste più. La stragrande maggioranza delle organizzazioni ora utilizza gli ambienti di dati ibridi, composti sia da cloud "privati" presenti in sede sia almeno un cloud pubblico e gli utenti si collegano alle risorse organizzative da qualsiasi luogo.

Anche una volta che gli utenti si sono autenticati e possono accedere alla rete, non sono liberi di fare qualunque cosa, proprio perché qualsiasi utente potrebbe venire compromesso. La verifica dell'identità e del dispositivo vengono eseguite quando l'utente si sposta nella rete e ogni utente può accedere soltanto alle risorse di cui necessita per svolgere la propria mansione.

Nel modello di sicurezza zero-trust, l'accesso con privilegi minimi e il RBAC vengono "coadiuvati" dalla segmentazione di rete, inclusa la "microsegmentazione" di risorse di dati particolarmente sensibili. L'idea è che, sebbene la rete di per sé non abbia un perimetro, essa dovrebbe essere separata in segmenti più piccoli per carichi di lavoro e dati specifici, dove ogni segmento ha controlli di ingresso e di uscita propri. Un diffuso caso d'uso per la microsegmentazione zero-trust è quello di separare i dati regolamentati, quali i dati fiscali dei dipendenti e le informazioni sanitarie protette, dai dati non regolamentati.

Limitando i livelli di accesso alla rete, segmentando e microsegmentando le reti e applicando rigidi controlli sul numero degli utenti privilegiati, lo zero-trust limita la capacità degli aggressori di compromettere sistemi e dati sensibili.

Quali sono i vantaggi della zero-trust?

La zero-trust offre un mondo di vantaggi, ecco perché la stanno adottando tante organizzazioni.

• Gli amministratori IT e di sicurezza ricevono visibilità su tutti gli utenti, i sistemi e i dispositivi dell'intero ambiente di dati. Possono visualizzare chi si connette alla rete, da dove e a cosa sta accedendo.
• Poiché la zero-trust consente a persone, app e servizi di comunicare in modo sicuro, anche tra reti diverse, gli utenti ricevono più libertà e flessibilità. Possono connettersi in modo sicuro da casa propria o da altri luoghi distanti, anche usando i propri dispositivi.
• Verificando in modo esplicito utenti e dispositivi, la zero-trust riduce enormemente il rischio di attacchi informatici legati alle password. I controlli degli accessi in base al ruolo e la gestione degli accessi privilegiati riducono al minimo il rischio di aumento dei privilegi in caso di violazione.
• Il meccanismo di autenticazione zero-trust, i controlli degli accessi in base al ruolo e la (micro)segmentazione della rete supportano le attività di conformità e producono un numero minore di riscontri durante le verifiche di conformità.

Come viene implementata la sicurezza zero-trust?

Una delle sfide maggiori nell'implementazione di una strategia di sicurezza zero-trust è che non ci sono criteri standard di implementazione che siano universali. Molte organizzazioni si rivolgono alla procedura in sette fasi illustrata nella Special Publication 800-207 della National Institute of Standards and Technology:

1. Identificare gli utenti

   Questo comprende sia gli utenti umani che le identità non umane, come gli account di servizio. Il NIST osserva che gli utenti con privilegi, tra cui gli amministratori IT e gli sviluppatori, necessitano di un controllo particolare, in quanto possono avere accesso illimitato alle risorse digitali. In un framework di tipo zero-trust, anche gli account con privilegi devono seguire il principio dei privilegi minimi e l'attività dell'account deve essere monitorata e registrata.

2. Identificare e gestire tutti gli asset che si collegano alla rete.

   Identificare e gestire tutte le risorse che si collegano alla rete organizzativa è fondamentale per la buona riuscita della distribuzione zero-trust. Ciò include:

   • PC portatili, dispositivi mobili, dispositivi IoT e altri componenti hardware.
   • Artefatti digitali, come applicazioni e certificati digitali.
   • I dispositivi che non sono di proprietà dell'organizzazione, ma che possono collegarsi alla sua infrastruttura di rete o accedere alle risorse della rete.

   Il NIST ammette che potrebbe non essere possibile stilare un elenco completo delle risorse, pertanto le organizzazioni dovrebbero garantire di riuscire a "identificare, categorizzare e valutare in modo rapido le risorse scoperte di recente che sono nell'infrastruttura di proprietà dell'azienda."

   Oltre a catalogare le risorse, in questa fase si gestisce e si monitora la configurazione, in quanto la capacità di osservare lo stato attuale di una risorsa fa parte della procedura di autenticazione zero-trust.

3. Identificare le procedure chiave, valutarne i rischi e identificare i "candidati" alla zero-trust

   Identificare, categorizzare e valutare i rischi delle procedure aziendali dell'organizzazione e i flussi di dati, inclusa la loro importanza per la missione della vostra organizzazione. In questo modo sarete informati su quali procedure siano buone candidate iniziali per la distribuzione zero-trust. Il NIST raccomanda di iniziare con le procedure che dipendono da risorse basate sul cloud e/o che vengono utilizzate da dipendenti in remoto, in quanto sono queste che apportano i miglioramenti alla sicurezza più immediati.

4. Formulare regole zero-trust per i "candidati"

   Si tratta della continuazione della fase 3. Dopo aver identificato una risorsa o un flusso di lavoro da far migrare alla zero-trust, identificate tutte le risorse upstream e downstream che la risorsa o il flusso di lavoro utilizza o coinvolge. Questa operazione contribuisce a rendere definitivi gli iniziali "candidati" per la migrazione alla zero-trust e a garantire che i privilegi minimi e altre regole applicate loro raggiungano il massimo livello di sicurezza senza ostacolare il flusso di lavoro.

5. Identificare e selezionare i set di strumenti/le soluzioni

   Sul mercato esistono tante soluzioni compatibili con la zero-trust, ma non tutte sono adatte per il vostro specifico ambiente di date e le vostre esigenze aziendali. Il NIST raccomanda di prendere in considerazione quanto segue quando si devono selezionare gli strumenti zero-trust:

   • La soluzione richiede che i componenti vengano installati sulla risorsa del client? Questo potrebbe limitare le procedure aziendali.

   • La soluzione funziona nei casi in cui le risorse per la procedura aziendale siano presenti in sede? Alcune soluzioni presumono che le risorse richieste risiedano nel cloud (il cosiddetto "traffico nord-sud") e non all'interno del perimetro aziendale (traffico est-ovest). In tal modo si crea un problema negli ambienti cloud ibridi, dove le applicazioni line-of-business (LOB) obsolete, che però svolgono funzioni essenziali, potrebbero essere eseguite in sede perché per loro la migrazione al cloud non è fattibile.

   • La soluzione fornisce un mezzo per registrare le interazioni per l'analisi? Le decisioni per l'accesso zero-trust dipendono enormemente sulla raccolta e sull'uso dei dati legati al flusso della procedura.

   • La soluzione fornisce ampio supporto per varie applicazioni, servizi e protocolli? Alcune soluzioni potrebbero non supportare un'ampia gamma di protocolli (SSH, web, ecc.) e di trasporti (IPv4 e IPv6), ma altri potrebbero funzionare soltanto con il web o l'e-mail.

   • La soluzione richiede modifiche ai flussi di lavoro esistenti? Alcune soluzioni potrebbero richiedere ulteriori fasi per lo svolgimento di un dato flusso di lavoro, il quale potrebbe richiedere delle modifiche da parte dell'organizzazione.

6. Avviare la distribuzione iniziale e il monitoraggio

   Il NIST raccomanda che le imprese considerino inizialmente l'implementazione della zero-trust nella "modalità monitoraggio", in modo che i team IT e di sicurezza possano garantire l'entrata in vigore e la fattibilità delle regole e delle procedure. Inoltre, una volta stabilite le attività dell'utente di riferimento e quelle della rete, i team di sicurezza riusciranno meglio a identificare i comportamenti anomali lungo il percorso.

7. Espandere l'architettura zero-trust

   Dopo l'iniziale avviamento della zero-trust, è il momento di far migrare il set di candidati successivo. Tale fase è continua: ogni volta che avvengono dei cambiamenti all'ambiente dei dati o ai flussi di lavoro dell'organizzazione, l'architettura zero-trust deve essere rivalutata e modificata di conseguenza.

Come viene implementata la sicurezza zero-trust?

La zero-trust e la zero-knowledge sono concetti diversi ma complementari. Se il motto della zero-trust è "Non fidarti di nessuno", il motto della zero-knowledge è "Non conosciamo i tuoi dati perché non abbiamo modo di accedervi".

Grazie alla zero-trust solo gli utenti autenticati possono accedere alle risorse e ai dati di rete perché monitora continuamente e convalida il numero di attributi e privilegi corretti in dotazione a utenti e dispositivi.

La zero-knowledge utilizza una framework di crittografia e separazione dei dati unica capace di impedire ai provider di servizi IT di essere a conoscenza di quanto conservato sui propri server. Keeper è un provider di sicurezza zero-knowledge e tutti i nostri prodotti sono realizzati sulla base di un'architettura zero-knowledge. Ciò significa che:

• I dati dei clienti sono crittografati e decrittografati a livello di dispositivo (e non sul server).
• L'applicazione non conserva mai dati di testo semplice (leggibili da esseri umani).
• I server di Keeper non ricevono né conservano mai i dati in chiaro.
• Le chiavi per decrittografare e crittografare i dati sono derivate dalla password principale dell'utente.
• La crittografia multilivello fornisce controllo degli accessi a livello di utente, gruppo e amministratore.
• La condivisione dei dati utilizza una crittografia a chiave pubblica per una distribuzione protetta delle chiavi.
• I dati sono crittografati sul dispositivo dell'utente prima di essere trasmessi e archiviati nella cassetta di sicurezza digitale di Keeper. Quando i dati vengono sincronizzati su un altro dispositivo, rimangono crittografati fino a quando non vengono decifrati sull'altro dispositivo.

La zero-knowledge supporta la zero-trust limitando il "raggio d'azione" di una violazione dei dati a distanza. Nell'eventualità altamente improbabile che Keeper venga violata, i malintenzionati non sarebbero assolutamente in grado di accedere al contenuto delle cassette di sicurezza dei nostri clienti... perché nemmeno noi possiamo farlo!