Che cos’è, e su che cosa si basa Zero Trust, la strategia di sicurezza che coinvolge i sistemi IT? Considerando che la filosofia del modello poggia su basi di assoluto rigore, imponendo di non fidarsi di nessuno, possiamo affermare con certezza che questo nuovo approccio alla sicurezza informatica sia davvero rivoluzionario, e rappresenti un cambiamento epocale. Per conoscere più da vicino l’innovativa filosofia è essenziale comprendere i principi base che la sostengono, per poi farne tesoro in azienda, implementando di conseguenza il sistema di sicurezza. Solo così si potranno ottenere benefici in termini di protezione contro le minacce interne ed esterne della rete.
L’approccio difensivo del pensiero Zero Trust
La filosofia di fondo dell’approccio Zero Trust nasce dalla consapevolezza che l’uso di un qualsivoglia dispositivo, all’interno di un’azienda, possa arrecare danni e non meriti fiducia illimitata, a prescindere dalla tecnologia utilizzata.
Il concetto è forse un po’ estremo ma, la sicurezza informatica nelle aziende, non è mai né troppa né esagerata.
Mettere al sicuro i dati crittografando il traffico, monitorare le infrastrutture interne e i flussi di rete, controllare costantemente le risorse cloud e i dispositivi esterni, è una soluzione necessaria per annullare il possibile potenziale negativo che si cela dietro l’uso di un dispositivo.
Il modello Zero Trust mette in moto una strategia difensiva, sottolineando come l’accesso a una risorsa IT deve essere soggetto a un’attenta verifica. Il controllo non può escludere nulla, coinvolgendo in egual misura accessi interni o esterni all’azienda, effettuati da un utente riconosciuto o da un dispositivo occasionale.
Zero Trust rappresenta un cambio di passo fondamentale nel campo della sicurezza informatica
L’idea di base del concetto Zero Trust, mette in chiaro che ogni accesso al comparto IT di un’azienda deve essere rigorosamente verificato e autorizzato. La strategia, che ha rivisto gli elementi cardine della sicurezza, rappresenta un cambiamento di fondamentale importanza nel percorso di protezione del comparto informatico di un’impresa.
Sempre più aziende adottano Zero Trust considerando che, mettere in pratica i punti focali della nuova filosofia di sicurezza, consente di ottenere un risparmio significativo su costi e difficoltà generate dagli accessi indesiderati. Numeri alla mano, come rivelano gli esperti di settore, circa l’80% delle violazioni è la diretta conseguenza di password inefficaci e inadeguate, difficoltà che l’ideologia Zero Trust affronta suggerendo di eseguire una costante verifica dell’identità degli accessi.
Per gettare le basi, e costruire una struttura di controllo informatico affidabile, è necessaria una rivisitazione delle politiche di sicurezza aziendali, rivedendo le infrastrutture, accertando la portata delle risorse pericolose, sfruttando le soluzioni di sicurezza di ultima generazione.
Come implementare la Zero Trust: facciamo luce sui passaggi base
L’adeguato modello di sicurezza Zero Trust riduce il rischio di attacchi informatici, per questo è necessario implementarlo seguendo regole precise, in grado di offrire agli amministratori IT una visuale integrale su tutti i sistemi, i dispositivi e gli utenti. Il controllo serrato deve poter essere eseguito su tutti gli accessi, e da ambienti di rete differenti. Chi amministra il sistema informatico deve poter rilevare gli accessi, sapere chi si connette alla rete, da dove parte la connessione e verso quali dispositivi viene indirizzato l’accesso.
Per mettere a punto un controllo adeguato non resta che rifarsi a tre principi base.
Prima di tutto è corretto ipotizzare che qualsiasi collegamento, anche interno all’azienda, possa nascondere un possibile attacco, studiato ad arte per danneggiare un dispositivo, distruggere o impossessarsi di dati preziosi.
Il secondo principio si regge sulla certezza che, chi accede alla rete, debba assolutamente essere identificato ancor prima di completare l’ingresso al sistema.
Se l’operazione di verifica dell’utente è essenziale, altrettanto importante è concedere a ogni utente il solo tempo necessario per portare a termine l’incarico e la mansione assegnatagli.
Nel progettare una soluzione di sicurezza efficace ed efficiente, è necessaria la valutazione di tutta una serie di elementi, da aggiornare con costanza e, all’occorrenza, sostituire.
Oggetto di un’attenta verifica devono essere le identità degli utenti, così come le applicazioni, per valutarne eventuali anomalie, ma non solo.
Il controllo abituale deve coinvolgere i dati, concedendo l’accesso con raziocinio, e imponendo i necessari limiti. L’accesso ai dati può essere consentito solo ai dispositivi controllati con rigore, e regolarmente registrati.
In base alle regole imposte dalla filosofia Zero Trust anche le reti devono essere soggette a un controllo accurato, imponendo una segmentazione, tale da impedire agli utenti indesiderati di spostarsi a piacere, e accedere ai dati sensibili.
Come per la rete, anche la gestione e l’utilizzo dell’infrastruttura, deve essere assoggettata a specifiche autorizzazioni.
La corretta implementazione del modello Zero Trust non può essere casuale, né transitoria, ma deve necessariamente diventare un impegno a lungo termine. Eventualmente si può scegliere di procedere per gradi, sino a coinvolgere l’intero comparto IT. Quel che è certo è che, per avere successo e radicalizzarsi, il modello Zero Trust deve essere sospinto da un cambio di passo in azienda e dallo sviluppo di una nuova mentalità.
Leggi anche:
Giovani hacker mettono in ginocchio Las Vegas
