Zero Trust è un modello a tutela della cybersecurity introdotto da Forrester nel 2009 e si basa su un semplice concetto: la fiducia (trust) è una vulnerabilità. Il presupposto è quindi che ogni utente, dispositivo o sistema aziendale possa essere già compromesso in partenza e quindi rappresenti una potenziale minaccia.
Proprio per questo, la sicurezza Zero Trust si basa su una verifica delle identità e delle autorizzazioni di utenti e dispositivi che accedono alla rete e alle applicazioni per offrire un maggiore livello di protezione e ridurre al minimo le minacce cyber.
Il modello Zero Trust sta conquistando sempre più aziende che, a causa della pandemia e del conseguente smart working, hanno dovuto riorganizzare la loro infrastruttura IT sfruttando le nuove tecnologie e utilizzando ulteriori sistemi di sicurezza avanzati.
Nel concreto, l’approccio Zero Trust mira a superare il concetto e l’applicazione delle VPN, utilizzate per connettersi alla rete aziendale dall’esterno. Da un lato, le VPN hanno rappresentato la soluzione preferita dalle aziende italiane durante lo smart working perché ogni utente, attraverso una porta, ha potuto connettersi al server aziendale e agli applicativi in modo univoco e sicuro. Dall’altro lato, il concetto di VPN si basa sulla fiducia degli utenti che, idealmente, dovrebbero essere consapevoli nell’utilizzo dei mezzi informatici e mantenere aggiornato il sistema operativo e gli endpoint aziendali.
Questa cieca fiducia negli utenti è proprio quello che l’approccio Zero Trust mira ad azzerare per perseguire la massima protezione. Un paradigma sostenuto anche da uno studio di Gartner che prevede che entro il 2023 le VPN spariranno da oltre la metà delle aziende Enterprise.
Indice dei contenuti:
Su cosa si basa l’approccio Zero Trust?
Il modello basato sull’approccio Zero Trust elimina quindi ogni tipo di fiducia in tema cyber security. Il presupposto è di equiparare l’ambiente interno, spesso considerato sicuro e protetto, all’ambiente esterno, definito come rischioso e pieno di vulnerabilità. Così facendo, tutto viene considerato come inaffidabile e quindi privo di fiducia (Zero Trust) con l’obiettivo di elevare al massimo ogni aspetto della sicurezza aziendale.
L’approccio Zero Trust si basa su 3 concetti concatenati:
- Valutazione del rischio: ogni figura del middle e top management aziendale dovrebbe essere a conoscenza dei possibili rischi informatici.
- Deception del rischio: con il termine si intende la capacità di riconoscere i primi passi dell’attaccante per bloccare l’attacco ancora prima che si verifichi.
- Privileged Access Management (PAM): identificare e saper gestire i cosiddetti account privilegiati e le credenziali di autenticazione che offrono accesso a risorse critiche a livello di rete, sistema o applicazioni.
Come si applica il modello Zero Trust?
Il modello Zero Trust è un vero e proprio approccio alla cybersecurity da perseguire attraverso diversi step a tutela della rete aziendale, degli utenti e dei singoli endpoint.
Protezione degli account privilegiati
Per proteggere gli accessi aziendali è utile individuare gli account privilegiati, ossia quelli che hanno accesso a piattaforme, reti, documenti considerati critici per la sicurezza. Questo permette di creare diversi livelli di controllo e autorizzazioni per proteggere meglio gli account privilegiati che, per loro natura, risultano più rischiosi in termini di Zero Trust.
Autenticazione a più fattori
L’autenticazione a più fattori dovrebbe essere uno standard di sicurezza nel 2021 e lo è sicuramente se parliamo di sicurezza Zero Trust visto che ha l’obiettivo di incrementare il livello di protezione rendendo più difficile l’accesso a terze parti non riconosciute.
Migliore sicurezza sugli endpoint
Proteggere gli endpoint significa implementare delle misure di restrizione per fare in modo che siano ritenute affidabili solo le applicazioni e gli account specificati: così facendo sarà possibile mitigare meglio i rischi di attacchi ransomware e code injection.
Seguire il principio di privilegio minimo
Tra le best practice troviamo sicuramente il bisogno di essere sempre a conoscenza di chi ha accesso a determinati asset e quali azioni può eseguire. Questo permette di attuare il principio del privilegio minimo e strutturare una strategia di accessi basata su criteri specifici e ben definiti.
