I modelli di sicurezza aziendali tradizionali si basano sull'attendibilità, o "trust". Se un utente è ritenuto attendibile, ottiene l'accesso alla rete aziendale e a tutto ciò che è collegato. In questo modello a "castello e fossato", la sicurezza basata su hardware protegge l'intera rete, una rete autonoma e di proprietà aziendale, con accesso gestito tramite gateway hardware.

Tuttavia questo modello è stato progettato mezzo secolo fa, per proteggere il lavoro svolto on-premise all'interno di un ufficio sicuro. Oggi, i dipendenti lavorano al di fuori delle mura del castello aziendale, direttamente su Internet o nel cloud, e persino da casa. Inoltre, le sfide per la sicurezza sono più numerose che mai, il che richiede set di hardware più costosi, alloggiati vicini agli utenti.

Gli attacchi informatici recenti, come quello contro la società di lavorazione della carne JBS, evidenziano le carenze del modello a castello e fossato: il livello di robustezza della sicurezza si misura in base al suo punto più debole (ad esempio, la vulnerabilità dei dipendenti alle email di phishing) dato che una volta violata la sicurezza della rete ogni sistema connesso alla rete viene messo a rischio. Il limite più grande di questo modello è probabilmente la mancanza di consapevolezza sul tema sicurezza. I leader IT che si affidano ai modelli di sicurezza tradizionali, spesso, non hanno modo di misurare il livello di informazione sulla sicurezza dei loro ambienti. Molti infatti non potranno sapere che le loro aziende sono state violate fino a quando non vedranno delle prove (come i dati oggetto di riscatto) all'indomani di un attacco.

Lo zero trust è una soluzione più efficace per preservare la sicurezza informatica aziendale. In realtà, questo approccio consiste in una struttura per proteggere i dati aziendali, applicare controlli di accesso a privilegi minimi e dissociare efficacemente la sicurezza dalla rete aziendale.

Lo zero trust nella teoria

Nel 2010, gli analisti della sicurezza di Forrester delinearono un nuovo approccio alla sicurezza informatica, portandola fuori dal regno dei controlli del perimetro della rete e applicandola a tutti i dati in movimento. L'approccio zero trust sostiene che tutto il traffico dati, da chiunque, verso qualsiasi luogo, su qualsiasi percorso, debba essere ritenuto potenzialmente ostile e mette in discussione quindi la legittimità dei dati in ogni punto del loro percorso.

Lo zero trust è inoltre caratterizzato da quattro principi chiave:

Qualsiasi livello di autenticazione richiede un accesso a privilegi minimi per tutti e ovunque: utenti, dispositivi o carichi di lavoro non vengono mai considerati implicitamente attendibili.
Che si tratti di collegare utente ad applicazione, applicazione ad applicazione o carico di lavoro a carico di lavoro, la connettività è diretta ed effimera, basata sulla micro-segmentazione a livello di applicazione, senza segmentazione della rete.
Le applicazioni, gli utenti e i sistemi aziendali rimangono invisibili a Internet come rete aperta.
Internet è la nuova rete aziendale.

In termini di sicurezza, l'approccio zero trust è una strategia molto interessante: se gli hacker da un lato sfruttano l'attendibilità, i responsabili della sicurezza la riducono al minimo, per ridurre il rischio di attacchi informatici. Quando pero‘ fu introdotto per la prima volta nel 2010, il concetto di zero trust era troppo avanti rispetto ai tempi e la sua adozione commerciale fu lenta a prendere piede. Le architetture di sicurezza legacy non sono in grado di scalare facilmente e non è facile riprogrammarle per rispondere a un modello di sicurezza dinamico e di controllo dei dati.

Lo zero trust nel mondo reale

Un decennio dopo la sua introduzione, lo zero trust sta vedendo un picco in termini di adozione pratica e promozione, in quanto rappresenta la modalità per proteggere il nuovo modo di lavorare cloud first, in cui l'accesso avviene da remoto, sfruttando qualsiasi tipo di dispositivo. L'impiego dello zero trust in un ambiente aziendale costringe i leader a ripensare completamente le connessioni di rete.

Con questo approccio, le singole connessioni sono isolate, effimere e dirette, integrando la tradizionale concezione di rete aziendale "sempre attiva e sempre aperta". La sicurezza viene applicata tramite proxy e personalizzata in modo specifico per ciascuna istanza di connettività. Il proxy, un sistema basato su cloud, idealmente replicato vicino a ogni posizione dell'utente, ispeziona, valuta e protegge ogni pacchetto di dati utente in entrata o in uscita, proteggendo efficacemente l'utente finale dagli attacchi rendendolo invisibile agli attori delle minacce.

Nell'agosto del 2020, dopo un'estesa consultazione con un pool di esperti del settore della sicurezza informatica, l'US National Institute of Standards and Technology (NIST) ha pubblicato le sue linee guida per un'architettura zero trust (ZTA). Lo standard del NIST enfatizza due requisiti per un approccio ZTA moderno: la sicurezza si deve basare sulle policy e viene erogata tramite proxy.

Ad esempio, un utente accede in remoto e passa direttamente a un proxy con base cloud nelle vicinanze, che lo autentica in base alle policy aziendali secondo quanto stabilito dalla gestione aziendale. Da lì, l'utente si connette direttamente e solamente alle risorse autorizzate.

Nel modello ZTA definito da NIST, non esiste alcuna attendibilità correlata al processo, perché tecnicamente non vi è alcun accesso alla rete: gli utenti, infatti, si connettono solo a specifiche risorse di destinazione, come un sito Web o un'applicazione aziendale. Anche i dati che arrivano al singolo utente vengono messi in discussione, con una sicurezza scalabile fornita a quell'edge di servizio cloud basato su proxy. Gli elementi dannosi, pertanto, non possono né entrare, né uscire.

Meno esposizione, raggio di attacco limitato e monitoraggio completo

In un ambiente ZTA, Internet funge da equivalente di una dorsale di rete. I dati, dotati di policy di sicurezza basate su proxy, viaggiano direttamente verso la destinazione, inclusi i data center aziendali o le risorse private ospitate su cloud, tramite scambi Internet, alleviando la necessità per l'organizzazione di possedere e gestire l'infrastruttura fisica di rete.

Gli attori delle minacce possono attaccare solo ciò che riescono a vedere. Un modello ZTA rende invisibile ogni singolo dispositivo, sistema, utente, applicazione e carico di lavoro, mettendolo al sicuro secondo un approccio alla sicurezza con soluzioni di edge cloud, scalabili e fornite da proxy. E ciò rappresenta un disincentivo per gli hacker.

Inoltre, poiché la rete viene di fatto soppiantata, i potenziali danni vengono ridotti al minimo. Pertanto, se un malintenzionato riesce in qualche modo a violare la difesa zero trust, quell'attore delle minacce (o il suo malware) non può spostarsi lateralmente sugli altri sistemi all'interno dell'organizzazione, contrariamente a quanto invece è accaduto nei recenti attacchi ransomware, in cui i criminali informatici sono riusciti a violare il perimetro e sono stati in grado di spostarsi da un sistema all'altro all'interno della rete aziendale e a rubare i dati liberamente.

Probabilmente, il vantaggio più interessante della sicurezza basata sull'approccio zero trust consiste nel controllo che fornisce, in modo particolare, quando si tratta di monitoraggio. In un ambiente ZTA, le risorse sono invisibili al mondo esterno, ma il traffico dati è completamente visibile alla gestione. Ciò consente ai leader IT di controllare l'accesso al cloud e a Internet e di gestire le attività IT tradizionalmente a rischio, come lo sviluppo di terze parti non autorizzate o il lavoro esterno al perimetro non controllato.

Cosa può pretendere il consiglio di amministrazione dalla gestione

Il rischio informatico è un rischio importante per l'azienda e la gestione della sicurezza informatica è un imperativo per la dirigenza. I membri del consiglio di amministrazione hanno l'opportunità di guidare le loro organizzazioni verso un presente e un futuro sicuri dal punto di vista informatico, iniziando con il rispondere alle seguenti domande insieme alla gestione:

All'interno dell'organizzazione, chi è responsabile della sicurezza informatica, incluse le relative misure, le operazioni e la pianificazione?
Qual è l'esposizione al rischio dell'organizzazione?
In che modo l'organizzazione misura il suo posizionamento rispetto alle minacce?
A che punto si trova l'organizzazione nel suo percorso verso un approccio ZTA conforme al NIST?

A causa della crescente frequenza, del rischio e della potenziale gravità delle minacce informatiche globali, l'adozione dell'approccio zero trust dovrebbe essere già stata largamente intrapresa.

Kavitha Mariappan è vice presidente esecutivo per la Customer Experience and Transformation presso Zscaler, una società di sicurezza informatica basata sul cloud.

NACD: strumenti e risorse per offrire una guida durante periodi imprevedibili.