Il concetto di "Zero Trust"

Non si può mai essere sicuri al 100% della propria sicurezza informatica. Lo sviluppo di nuovi tipi di protezione dei dati sta portando le tecnologie dell'informazione a un livello superiore. L'autenticazione a più fattori e gli utenti privilegiati, la biometria per l'accesso – tutto questo è diventato la norma. In un ambiente aziendale, per impostazione predefinita ci fidiamo delle persone all'interno della rete e non ci fidiamo di quelle esterne. Oggi esploreremo il concetto relativamente nuovo di "Zero Trust" e la sua utilità nel perimetro aziendale, nel cloud e nella sicurezza mobile.

Cos'è lo "Zero Trust"?

Per impostazione predefinita, tutti gli utenti, i dispositivi, i cloud, i sistemi e le reti sono considerati compromessi, indipendentemente dal fatto che siano protetti da un firewall. Il concetto di zero trust prevede un controllo molto rigoroso dell'accesso ai sistemi, cosicché anche gli utenti autenticati sono sottoposti a più fasi di verifica. Questo metodo aiuta a ridurre significativamente la probabilità di un attacco riuscito al sistema.

Limitando l'accesso di diversi utenti ai segmenti della rete aziendale, gli hacker hanno meno opportunità di accedere a dati protetti o riservati. Naturalmente, il valore chiave del concetto zero trust è l'autenticazione a più fattori (un meccanismo di sicurezza che richiede un ulteriore metodo di autenticazione in tempo reale utilizzando una categoria di dati indipendente dall'utente).

Rete aziendale contro "Zero Trust"

Come abbiamo già detto, il metodo obsoleto di protezione del perimetro aziendale prevede che qualsiasi utente all'interno della rete aziendale sia, per impostazione predefinita, una "persona fidata", e qualsiasi utente al di fuori della rete aziendale sia, di conseguenza, "non fidato". Questo modello è esistito ed è prosperato per gli ultimi 20 anni per giustificare il fatto che solo determinati individui hanno accesso a programmi e applicazioni. Tuttavia, nel tempo, questo modello di sicurezza perimetrale si è dimostrato sempre meno efficace, in particolare a causa dell'enorme balzo in avanti nello sviluppo delle tecnologie cloud, delle tecnologie mobili, dei sistemi di protezione dei dati e della diffusa transizione dei dipendenti al lavoro da remoto. Di conseguenza, nel nuovo contesto, il concetto di "persona fidata" all'interno dell'azienda e al di fuori della rete aziendale non esiste più. Il nuovo modello tratta tutti gli utenti come "non fidati" per impostazione predefinita e li obbliga a superare tutte le fasi per ottenere l'accesso, indipendentemente dai loro privilegi. La politica "Zero Trust" è stata discussa per la prima volta a metà degli anni 2000, con l'idea principale di "deperimetrizzare" l'azienda e passare alla strategia di protezione dei dati aziendali a tutti i livelli utilizzando la crittografia e l'autenticazione a più fattori.

Lo sviluppo dello "Zero Trust"

Nel 2010, John Kindervag, analista di Forrester Research, ha coniato il termine politica "Zero Trust", la cui idea principale era la diffidenza verso qualsiasi utente all'interno e all'esterno dell'azienda. L'azienda deve verificare chiunque tenti di connettersi alla rete prima che gli venga concesso l'accesso. La politica "Zero Trust" mette in discussione il modello di protezione basato sull'uso di un firewall tra reti interne ed esterne. Una simile strategia di sicurezza crollerebbe se un hacker compromettesse il sistema all'interno del perimetro e volesse rubare informazioni riservate. Pertanto, in un sistema convenzionale, i responsabili della sicurezza informatica devono verificare e proteggere manualmente tutte le risorse, concedendo e revocando l'accesso a ciascun utente individualmente.

Sicurezza cloud e mobile nello "Zero Trust"

I tre principi fondamentali del concetto di zero security:

• le aziende devono garantire un accesso sicuro alle proprie reti indipendentemente dalla posizione dell'azienda o del dipendente;

• le organizzazioni devono controllare l'accesso degli utenti in modo che possano accedere solo alle risorse di cui hanno bisogno. Inoltre, le aziende devono impedire agli utenti di accedere a informazioni potenzialmente sensibili e definire chiaramente i ruoli dei dipendenti. Questo serve a garantire che i dati privati rimangano all'interno dell'azienda in caso di licenziamento;

• le aziende devono ispezionare e registrare il traffico per assicurarsi che gli utenti agiscano legalmente.

Con il numero crescente di dispositivi connessi alle reti aziendali, sempre più organizzazioni hanno iniziato a implementare soluzioni software specifiche a supporto della politica "Zero Trust". Tutti hanno probabilmente sentito parlare dei sistemi DLP – software specializzato progettato per prevenire le fughe di informazioni riservate e monitorare l'attività dei dipendenti durante la giornata lavorativa. Vediamo brevemente come funziona un sistema di questo tipo, usando come esempio Anexet Ultimate di Scinero Software Limited.

Esempio del sistema DLP Anexet Ultimate di Scinero Software Limited

Anexet Ultimate è un sistema DLP che protegge le aziende dalle fughe di dati causate dai dipendenti, monitora la loro attività al computer, identifica potenziali minacce e, in caso di incidente, segnala tempestivamente la violazione al team di sicurezza informatica dell'organizzazione o addirittura previene il verificarsi dell'incidente.

L'applicazione Anexet Ultimate Agent viene installata sul computer, dove intercetta i messaggi e i file inviati e ricevuti e monitora tutte le azioni eseguite sul computer. Tutte le informazioni intercettate vengono inviate al server Anexet e sottoposte ad analisi intelligente. Se viene rilevata una violazione, il sistema può bloccare un'azione e notificare il servizio di sicurezza informatica dell'azienda.

Il sistema DLP può essere utilizzato in reti aziendali locali, reti con architettura complessa, uffici geograficamente distribuiti e postazioni di lavoro mobili. Questa soluzione software opera quindi secondo i principi di una politica "Zero Trust" e contribuirà a ridurre significativamente le possibilità di perdita di dati riservati appartenenti a un'organizzazione.

Inoltre, in conformità con lo "Zero Trust", l'uso della VPN è obbligatorio quando si lavora in un ambiente aziendale. Attualmente, le aziende dispongono di una propria VPN aziendale, che funziona insieme ad altri metodi tecnologici di protezione delle informazioni.

Il futuro dello Zero Trust

Man mano che la tecnologia avanza ogni giorno e gli aggressori escogitano modi sempre più sofisticati per attaccare i sistemi, la comunità IT globale ha già riconosciuto l'assoluta validità del concetto "Zero Trust" e lo sta implementando ampiamente nelle aziende. Naturalmente, le grandi aziende tecnologiche sono le prime a comprendere il potenziale dello "Zero Trust". Nel complesso, gli analisti prevedono che entro il 2025-2030 il modello "Zero Trust" si diffonderà in tutto il mondo.

Chi considera la conservazione dei dati aziendali riservati una priorità è il primo a passare allo "Zero Trust" e ai sistemi DLP. Tutto questo lavora insieme per garantire la massima sicurezza dei dati aziendali.