Uno dei valori culturali di Zscaler è l'orientamento al cliente. Per questo motivo, non vogliamo solo superare le aspettative dei nostri clienti, ma anche comprendere a fondo le loro sfide e aiutarli a superarle. La nostre opinioni in materia di risoluzione dei problemi delle aziende non derivano dalla lettura di articoli di giornale o di report degli analisti (anche se non neghiamo l'utilità di entrambi questi mezzi); ciò di cui siamo convinti è frutto di molte conversazioni aperte e dirette con i nostri clienti.

E nel corso degli ultimi due anni, con l'ampliamento della nostra piattaforma Zero Trust Exchange per la protezione di utenti, applicazioni e carichi di lavoro nativi del cloud, i nostri team del prodotto e i nostri leader hanno avuto centinaia di queste conversazioni. Cosa abbiamo imparato?

La sicurezza sul cloud è compromessa

Negli ambienti nativi del cloud di oggi, i team che si occupano di sviluppo stanno innovando più rapidamente che mai. Le metodologie di sviluppo delle applicazioni si stanno allontanando dal tradizionale modello "a cascata" per avvicinarsi a processi più agili di integrazione continua/consegna continua (CI/CD) con automazione end-to-end. Ciò significa che gli sviluppatori hanno adottato architetture basate su microservizi realizzate con container, assemblate in pipeline di sviluppo in stile DevOps e distribuite in modo programmatico nelle infrastrutture cloud.

Purtroppo, gli strumenti di sicurezza non sono riusciti a rimanere al passo con queste tendenze, e non possono garantire la velocità e la scalabilità delle applicazioni native del cloud guidate dagli sviluppatori, incentrate sulle API e indipendenti dalle infrastrutture. Oggi, per ottenere una sicurezza completa sul cloud, la maggior parte delle organizzazioni utilizza una serie di strumenti disgregati, ciascuno di essi con il suo personalissimo acronimo. CSPM, CIEM, scansione dell'IaC, CWPP, CNAPP, DLP, scansione delle vulnerabilità ecc., sono tutti elementi che fanno parte del "set standard". Alcuni di essi sono forniti dai provider di servizi cloud, mentre altri da fornitori terzi.

Le difficoltà degli strumenti di sicurezza sul cloud

Questi strumenti isolati di sicurezza sul cloud non si integrano tra loro, affrontano solo problemi di sicurezza molto specifici e hanno difficoltà a correlare i rischi che causano i problemi, come la mancanza di visibilità, la complessità e l'attrito tra i team interfunzionali, che rallentano il progresso complessivo.

Per soddisfare la portata e la velocità dello sviluppo delle applicazioni native del cloud, le organizzazioni hanno bisogno di un approccio alla sicurezza completo e che si applichi all'intero ciclo di vita di CI/CD, per integrarsi perfettamente con i flussi di lavoro degli sviluppatori e degli operatori di DevOps. Un approccio di questo tipo richiede un'architettura semplificata, che metta in relazione le debolezze del cloud e dei carichi di lavoro e dia la a priorità ai rischi reali, per fornire la correzione attraverso i flussi di lavoro preferiti da ogni stakeholder, il più precocemente possibile nella fase sviluppo.

Il team giusto per risolvere il problema

Quando si affrontano ambiti completamente nuovi come questo, è comune pensare che siano necessarie risorse con un "DNA da startup" nel team. Secondo altri, invece, è preferibile che ci siano persone che abbiano già adattato le prestazioni di una piattaforma con successo e che possano quindi replicare il risultato di tale impresa. Con Posture Control, abbiamo realizzato un team che sintetizza il meglio di entrambe queste realtà.

Grazie alle nostre acquisizioni di Cloudneeti e Trustdome, abbiamo innanzitutto ampliato significativamente i team. Abbiamo assunto interi team che hanno adattato le prestazioni di altre piattaforme di sicurezza sul cloud per risolvere nuovi problemi, come la scansione delle vulnerabilità e le integrazioni DevOps, e abbiamo effettuato trasferimenti all'interno del team originario che ha reso Zscaler il gigante della sicurezza sul cloud che è oggi.

Il risultato? Un team composto da centinaia di ingegneri brillanti e motivati, con un DNA da startup e una comprovata esperienza nell'adattamento delle prestazioni, tutti concentrati sulla sicurezza nel cloud pubblico e sul nostro ultimo prodotto: Posture Control.

Presentazione di Posture Control di Zscaler

Zscaler Posture Control è una CNAPP completa che ridefinisce la sicurezza sul cloud. È una soluzione creata appositamente per identificare i rischi nascosti causati da una combinazione di errori di configurazione, minacce e vulnerabilità nel ciclo di vita delle app native del cloud. Questa piattaforma correla le segnalazioni provenienti da diversi motori di sicurezza sul cloud per identificare e assegnare la priorità ai rischi e agli incidenti relativi alla sicurezza. Si tratta di un'architettura completamente senza agente, che semplifica la sicurezza del 100% dei carichi di lavoro; inoltre, l'integrazione nativa degli strumenti consente agli sviluppatori e agli operatori di DevOps di identificare e risolvere i problemi di sicurezza senza rallentare il lavoro.

Figura: la nuova e completa interfaccia utente/dashboard delle segnalazioni di Posture Control

Posture Control è una piattaforma completamente nuova e creata da zero. Il percorso più immediato sarebbe stato quello di combinare le tecnologie CSPM, dalla nostra acquisizione di Cloudneeti, e CIEM, dalla nostra acquisizione di Trustdome, in un'unica interfaccia e un unico account utente, ma un simile approccio non avrebbe risolto le problematiche che ci sono state segnalate ripetutamente dai nostri clienti. Solo con un ripensamento radicale dell'intera esperienza, a partire dall'onboarding e dalla distribuzione, fino al punteggio del rischio e all'assegnazione delle priorità, un prodotto è in grado di soddisfare le esigenze delle aziende di oggi e di domani.

Figura: risultati delle indagini sulle minacce avanzate, sulla correlazione dei rischi e sui percorsi di attacco

Il cuore della piattaforma è un database unificato che attinge da molte fonti diverse, per identificare e analizzare i punti deboli del cloud e dei carichi di lavoro che gli aggressori sono più propensi a sfruttare. La conseguente assegnazione di priorità basata sul rischio rende i team InfoSec molto più efficienti.

Le integrazioni native nei flussi di lavoro di sviluppo e di DevOps consentono a questi team di collaborare in modo più efficace con l'organizzazione dei CTO riducendo al minimo le modifiche della sicurezza, che sono operazioni costose e dispendiose in termini di tempo, nonché il numero di punti deboli degli ambienti cloud di produzione.

Zscaler per i carichi di lavoro

In combinazione con Zscaler Internet Access (ZIA) e Zscaler Private Access (ZPA) per i carichi di lavoro, che protegge le applicazioni nella fase di runtime, Zscaler Posture Control offre una protezione completa, sia per le applicazioni native del cloud che per quelle tradizionali, su qualsiasi servizio e in qualsiasi cloud.