Aggiornamento: 20 giugno 2024
Collaboratori: Gregg Lindemulder, Matthew Kosinski
Zero Trust è una strategia di sicurezza per le moderne reti multicloud. Invece di concentrarsi sul perimetro della rete, un modello di sicurezza zero trust applica politiche di sicurezza per ogni singola connessione tra utenti, dispositivi, applicazioni e dati.
Lo zero trust funziona secondo il principio "mai fidarsi, verificare sempre" piuttosto che concedere una fiducia intrinseca a tutti gli utenti all'interno di una rete. Questo approccio granulare alla sicurezza aiuta ad affrontare i rischi alla cybersecurity posti dai lavoratori da remoto, dai servizi cloud ibridi, dai dispositivi personali e da altri elementi delle reti aziendali odierne.
Un numero crescente di organizzazioni sta adottando modelli zero-trust per migliorare i propri livelli di sicurezza, man mano che le superfici di attacco crescono. Secondo un rapporto del TechTarget Enterprise Strategy Group del 2024, più di due terzi delle organizzazioni affermano di implementare politiche zero-trust in tutte le proprie aziende.1
Anche l'evoluzione dei requisiti legali e normativi sta incentivando l'adozione dello zero trust. Ad esempio, un ordine esecutivo del 2021 del presidente degli Stati Uniti Joseph Biden ha ordinato a tutte le agenzie federali statunitensi di implementare un'architettura zero-trust (ZTA).2
Un approccio zero-trust è importante perché il modello tradizionale di sicurezza della rete non è più sufficiente. Le strategie zero-trust sono progettate per le reti più complesse e altamente distribuite utilizzate oggi dalla maggior parte delle organizzazioni.
Per molti anni, le aziende si sono concentrate sulla protezione dei perimetri delle loro reti con firewall e altri controlli di sicurezza. Gli utenti all'interno del perimetro di rete sono stati considerati affidabili e hanno avuto accesso gratuito ad applicazioni, dati e risorse.
La trasformazione digitale ha eliminato il concetto tradizionale di perimetro di rete. Oggi, le reti aziendali si estendono oltre le sedi on-premise e i segmenti di rete. L'ecosistema aziendale moderno include ambienti cloud, servizi mobili, data center, dispositivi IoT, applicazioni software-as-a-service (SaaS) e accesso remoto per dipendenti, fornitori e partner commerciali.
Con questa superficie di attacco estesa, le aziende sono più vulnerabili alle violazioni dei dati, ai ransomware, alle minacce interne e ad altri tipi di attacchi informatici. Il perimetro della rete non è più una linea netta e ininterrotta e le difese basate sul perimetro non riescono a colmare ogni lacuna. Inoltre, gli autori delle minacce che ottengono l'accesso a una rete possono sfruttare la fiducia implicita per effettuare movimenti laterali allo scopo di individuare e attaccare risorse critiche.
Nel 2010, l'analista John Kindervag di Forrester Research ha introdotto il concetto di "zero-trust" come framework per la protezione delle risorse aziendali attraverso un rigoroso controllo degli accessi. Zero-trust allontana l'attenzione dal perimetro della rete e pone i controlli di sicurezza sulle singole risorse.
Ogni endpoint, utente e richiesta di connessione è considerata una potenziale minaccia. Anziché avere libero accesso quando attraversano il perimetro, gli utenti devono essere autenticati e autorizzati ogni volta che si collegano a una nuova risorsa. Questa convalida continua aiuta a garantire che solo gli utenti legittimi possano accedere ai preziosi asset di rete.
In senso lato, un livello di sicurezza Zero Trust funziona verificando e autenticando continuamente le connessioni tra utenti, applicazioni, dispositivi e dati.
L'implementazione di una strategia zero-trust in un'organizzazione può essere un'impresa complessa. Non si tratta di installare un'unica soluzione zero-trust. Zero-trust richiede la pianificazione e l'esecuzione in un'ampia gamma di aree funzionali, tra cui politiche di identità e accesso, soluzioni di sicurezza e flussi di lavoro, automazione, operazioni e infrastruttura di rete.
Molte organizzazioni seguono specifici framework Zero Trust per creare architetture Zero Trust. Tra i modelli consolidati figurano il framework Zero Trust di Forrester, il National Institute of Standards and Technology (NIST) Special Publication (SP) 800-2073 e il Cybersecurity and Infrastructure Security Agency (CISA) Zero Trust Maturity Model (ZTMM).4
Sebbene le organizzazioni possano scegliere tra vari framework, la maggior parte delle strategie Zero Trust condivide questi concetti chiave: i tre principi zero trust, i cinque pilastri zero trust e l'accesso alla rete zero trust (ZTNA).
Le specifiche tecniche dei diversi framework e modelli possono variare, ma tutti seguono un insieme fondamentale di principi Zero Trust:
- Monitoraggio e convalida continui
- Il principio del privilegio minimo
- Supposizione di una violazione
Zero trust rende inaccessibili tutti gli asset di rete per impostazione predefinita. Gli utenti, i dispositivi e i workload devono superare un'autenticazione e una convalida continue e contestuali per accedere a qualsiasi risorsa, e devono superare questi controlli ogni volta che richiedono una connessione.
Le politiche dinamiche di controllo degli accessi determinano se approvare le richieste in base a punti dati quali privilegi di un utente, posizione fisica, stato di integrità del dispositivo, threat intelligence e comportamenti insoliti. Le connessioni vengono monitorate costantemente e devono essere periodicamente autenticate nuovamente per continuare la sessione.
In un ambiente Zero Trust, gli utenti e i dispositivi hanno accesso alle risorse con privilegi minimi. Ciò significa che ricevono il livello minimo di autorizzazione richiesto per completare un'attività o svolgere il proprio ruolo. Queste autorizzazioni vengono revocate quando la sessione è terminata.
La gestione delle autorizzazioni in questo modo limita la capacità degli attori delle minacce di accedere ad altre aree della rete.
In un'azienda zero-trust, i team di sicurezza partono dal presupposto che gli hacker abbiano già violato le risorse di rete. Le azioni che i team di sicurezza utilizzano spesso per mitigare un attacco informatico in corso diventano procedure operative standard. Queste azioni includono la segmentazione della rete per limitare la portata di un attacco; il monitoraggio di ogni asset, utente, dispositivo e processo attraverso la rete; e la risposta a comportamenti insoliti di utenti o dispositivi in tempo reale.
Il modello di sicurezza Zero Trust di CISA delinea4 cinque pilastri su cui le organizzazioni possono concentrarsi durante un'implementazione Zero Trust:
- Identità
- Dispositivi
- Reti
- Applicazioni e workload
- Dati
Autenticare l'identità degli utenti e concedere loro l'accesso solo alle risorse aziendali approvate è una funzionalità fondamentale della sicurezza Zero Trust.
Gli strumenti comuni che le organizzazioni utilizzano a questo scopo includono i sistemi di gestione delle identità e degli accessi (IAM), le soluzioni Single Sign-On (SSO) e l' autenticazione a più fattori (MFA).
Ogni dispositivo che si connette a una risorsa di rete deve essere pienamente conforme alle politiche zero-trust e ai controlli di sicurezza dell'organizzazione. Tra questi rientrano postazioni di lavoro, telefoni cellulari, server, laptop, dispositivi IoT, stampanti e altri.
Le organizzazioni Zero Trust mantengono inventari completi e aggiornati di tutti i dispositivi endpoint autorizzati. Ai dispositivi non autorizzati viene negato l'accesso alla rete.
In un ambiente Zero Trust, le organizzazioni passano dalla tradizionale segmentazione della rete alla microsegmentazione. Le risorse e i workload vengono separati in zone più piccole e sicure, il che aiuta le organizzazioni a contenere meglio le violazioni e a prevenire il movimento laterale. Gli attori delle minacce non possono nemmeno vedere le risorse che non sono autorizzati a utilizzare.
Le organizzazioni possono anche implementare altri metodi di prevenzione delle minacce di rete, come la crittografia del traffico di rete e il monitoraggio del comportamento di utenti ed entità.
Come ogni altro elemento di un modello di sicurezza Zero Trust, le applicazioni e le application programming interface (API) non hanno una fiducia implicita.
Invece di fornire un accesso statico una tantum alle applicazioni, le organizzazioni passano all'autorizzazione dinamica che richiede una riconvalida continua per l'accesso persistente. Le organizzazioni monitorano continuamente le applicazioni che dialogano tra loro, alla ricerca di comportamenti insoliti.
In base a un modello zero-trust, le organizzazioni classificano i propri dati in modo da poter applicare politiche mirate di controllo degli accessi e sicurezza dei dati per salvaguardare le informazioni.
I dati in transito, in uso e inattivi sono protetti tramite crittografia e autorizzazione dinamica. Le organizzazioni monitorano costantemente l'elaborazione dei dati per rilevare eventuali attività insolite che potrebbero indicare violazioni dei dati o esfiltrazioni di dati sensibili.
Una delle tecnologie principali per l'implementazione di una strategia zero-trust è il zero trust network access o ZTNA. Come una rete privata virtuale (VPN), il ZTNA fornisce accesso remoto ad applicazioni e servizi. A differenza di una VPN, una ZTNA connette gli utenti solo alle risorse a cui hanno il permesso di accedere piuttosto che connetterli all'intera rete.
ZTNA è una parte fondamentale del modello SASE (Secure Access Service Edge), che consente alle aziende di fornire connessioni dirette, sicure e a bassa latenza tra utenti e risorse.
Poiché l'architettura Zero Trust impone il controllo degli accessi in base all'identità, è possibile offrire una protezione efficace per ambienti ibridi e multicloud . Ai workload su cloud verificati viene concesso l'accesso a risorse critiche, mentre ai servizi e alle applicazioni cloud non autorizzati viene negato.
Indipendentemente dalla fonte, dall'ubicazione o dalle modifiche all'infrastruttura IT, zero-trust può salvaguardare costantemente gli ambienti cloud affollati.
Le organizzazioni hanno spesso la necessità di concedere l'accesso alla rete a fornitori, appaltatori, fornitori di servizi e altri soggetti terzi. Gli hacker sfruttano questa situazione per sferrare attacchi alla supply chain, utilizzando account e workload compromessi dei fornitori per entrare nella rete di un'azienda.
Zero Trust applica un'autenticazione continua e contestuale e un accesso con privilegi minimi a ogni entità, anche a quelle esterne alla rete. Anche se gli hacker violano l'account di un fornitore affidabile, non possono accedere alle risorse più sensibili dell'azienda.
Le organizzazioni si affidano tradizionalmente alle reti private virtuali (VPN) per connettere i dipendenti da remoto con le risorse di rete. Ma le VPN non sono facilmente scalabili, né impediscono il movimento laterale.
In un modello zero-trust, le aziende possono invece utilizzare soluzioni zero trust network access (ZTNA). ZTNA verifica l'identità dei dipendenti, quindi concede loro l'accesso solo alle applicazioni, ai dati e ai servizi di cui hanno bisogno per svolgere il proprio lavoro.
Poiché i dispositivi IoT si connettono a internet, rappresentano un rischio per la sicurezza aziendale. Gli hacker prendono spesso di mira i dispositivi IoT perché possono utilizzarli per introdurre malware nei sistemi di rete vulnerabili.
Le architetture Zero Trust monitorano costantemente la posizione, lo stato e l'integrità di ogni dispositivo IoT all'interno di un'organizzazione. Ogni dispositivo viene trattato come un'entità potenzialmente dannosa. Come altri elementi di un ambiente Zero Trust, i dispositivi IoT sono soggetti a controlli di accesso, autenticazione e comunicazioni crittografate con altre risorse di rete.
Proteggi e gestisci clienti, forza lavoro e identità privilegiate sul cloud ibrido, con l'integrazione dell'AI.
Proteggi l'infrastruttura e la rete dalle minacce alla cybersecurity con soluzioni moderne, competenze e soluzioni comprovate.
Come proteggere i dati nei cloud ibridi e semplificare i requisiti di conformità.
Questa sessione di design thinking gratuita di 3 ore, online o in presenza, con architetti e consulenti senior della sicurezza IBM, può aiutarti a conoscere meglio il tuo landscape di cybersecurity e a dare slancio alle tue iniziative.
L'IBM Office del CIO si è affidato a IBM® Security Verify per un'autenticazione digitale di nuova generazione per l'intera forza lavoro e i suoi clienti.
Scopri come migliorare la sicurezza dei dati e la posizione di conformità, anche se il panorama IT diventa sempre più decentralizzato e complesso.
Note a piè di pagina
Tutti i link sono esterni a ibm.com.
1 Trends in Zero Trust. Enterprise Strategy Group by TechTarget. Marzo 2024.
2 Executive Order on Improving the Nation’s Cybersecurity. The white house. 12 maggio 2021.
3 NIST SP800-207: Zero Trust Architecture. NIST. Agosto 2020.
4 CISA Zero Trust Maturity Model. CISA. Aprile 2023.