Proteggete la vostra organizzazione con la sicurezza zero-trust

La nuova framework di sicurezza zero-trust

Se guardiamo alla storia, gran parte delle organizzazioni usavano il modello "castello con fossato" per garantire la sicurezza della rete. Gli utenti e i dispositivi situati all'interno del perimetro della rete erano affidabili per impostazione predefinita, coloro che erano al di fuori non lo erano. Questo modello aveva senso quando gran parte se non tutte le attrezzature e i dipendenti erano in sede e il perimetro della rete era ben definito.

Nel corso dell'ultimo decennio, il cloud computing e la mobilità hanno cambiato profondamente gli ambienti dei dati delle organizzazioni, smantellando a poco a poco il "castello" e rendendo meno definito il perimetro della rete. Il colpo di grazia inflitto al modello "castello con fossato" è stato dato dalla pandemia da COVID-19, la quale ha costretto le organizzazioni a ridimensionare rapidamente le proprie funzionalità di rete e di sicurezza per supportare la diffusione del lavoro da remoto.

Il "perimetro della rete" non solo era sempre meno definito, ma scomparve del tutto. Il "castello" è andato distrutto, il "fossato" si è prosciugato e le organizzazioni hanno iniziato a spostarsi verso il moderno accesso alla rete zero-trust.

Cosa significa zero-trust

La framework di sicurezza zero-trust è incentrata su tre principi fondamentali: presumere una violazione, verificare in modo esplicito e garantire un accesso con privilegi minimi.

Invece di fidarsi di tutti gli utenti e i dispositivi presenti all'interno del perimetro della rete, il modello zero-trust non si fida di nessuno, anzi presuppone che tutti gli utenti e tutti i dispositivi potrebbero potenzialmente essere compromessi e che tutti, persone e macchine, devono essere verificati prima di poter accedere alla rete. Una volta entrati nella rete, gli utenti devono avere la quantità minima di accesso alla rete che serve loro per svolgere il proprio lavoro, niente di più.

Quando viene implementato correttamente, il modello zero-trust dà agli amministratori IT visibilità completa di tutti gli utenti, i sistemi e i dispositivi, aiuta a garantire la conformità con le richieste del settore e delle normative vigenti e anche a impedire gli attacchi informatici causati da credenziali utente compromesse.

Perché la VPN e la zero-trust non vanno d'accordo

Quando è scoppiata la pandemia da COVID-19, le organizzazioni sono state costrette a ridimensionare rapidamente le proprie funzionalità di rete e di sicurezza a supporto della forza lavoro che lavorava in modo diffuso da remoto. Poiché questo cambio è stato repentino e senza preavviso, molte organizzazioni hanno semplicemente distribuito molto più di quanto avessero in realtà. Spesso questo significa utilizzare la VPN per proteggere i collegamenti da remoto.

Quando l'accesso remoto era limitato esclusivamente a casi d'uso molto specifici, le VPN funzionavano molto bene, ma quando le organizzazioni hanno tentato di ridimensionarle per venire incontro alle esigenze della loro intera forza lavoro, i limiti della VPN sono presto diventati evidenti.

Le VPN non sono adatte al ridimensionamento. Sono inoltre costose, hanno problemi di latenza, affidabilità e disponibilità, richiedono tanto controllo amministrativo e sono estremamente difficili da utilizzare da parte degli utenti finali. Forse l'aspetto peggiore di tutti è il fatto che la maggior parte delle VPN non supporta l'accesso alla rete zero-trust.

Come implementare la zero-trust

Non esistono regole standard universali per l'“implementazione della zero-trust” e può essere pertanto complesso sapere da dove partire. Tuttavia, ecco di seguito alcune delle migliori strategie universali per stilare una "mappa di viaggio zero-trust" per la vostra organizzazione.

• Puntare sulla zero-trust nel lungo periodo - La tecnologia, i flussi di lavoro e gli ambienti di minaccia sono in continuo cambiamento e diventano sempre più complessi. Lo stesso si può dire dell'architettura zero-trust.
• Garantire la partecipazione della dirigenza - Tutte le figure della dirigenza della vostra organizzazione devono partecipare e impegnarsi molto nell'implementazione della zero-trust. Un recente studio condotto da CRA ha rilevato che le organizzazioni che hanno implementato con grande successo la zero-trust hanno dichiarato di aver ricevuto il sostegno dei piani alti, mentre quelle che non l'hanno ricevuto hanno riscontrato delle difficoltà nell'implementazione.
• Partire con poco - Partite con la distribuzione della zero-trust facendo la migrazione delle risorse aziendali a basso rischio, poi passate a quelle più critiche dopo che il vostro team avrà acquistato maggiore dimestichezza con il suo funzionamento.
• Concentrarsi prima sull'IAM – Lo studio di CRA ha rilevato che la gestione dell'identità e dell'accesso (Identity and Access Management, IAM) è stata la componente zero-trust più implementata dalle organizzazioni che ne hanno tratto grande beneficio, con ben l'86% di esse che hanno applicato strategie zero-trust ai propri processi e controlli IAM.