Cos'è Zero Trust?

L'architettura Zero Trust ha registrato un aumento vertiginoso negli ultimi due anni ed è diventata una scelta di riferimento per molte organizzazioni alla ricerca di un sistema di sicurezza affidabileQuesto modello è stato presentato per la prima volta nel 2010 ma ha guadagnato ampia attenzione alcuni anni dopo, quando Google ha annunciato di aver implementato questo concetto di sicurezza nella propria attivitàNonostante stia guadagnando popolarità tra grandi e piccole aziende, il modello Zero Trust rimane relativamente sconosciuto tra gli utenti Internet mediEcco perché, prima di approfondire il suo modello di sicurezza e l'implementazione di questo sistema di sicurezza, dobbiamo capire cos'è Zero Trust

Per prima cosa, diamo uno sguardo alla storia della sicurezza di reteCi ha insegnato che i sistemi di sicurezza come Zero Trust forniscono sicurezza affidabile indipendentemente dalle dimensioni di un'aziendaLe massicce violazioni all'inizio di questo decennio hanno dimostrato che i sistemi di sicurezza perimetrale esistenti erano obsoleti e incapaci di fornire la massima sicurezza sia agli utenti che alle aziende

Allora, cos'è Zero Trust? In termini semplici, l'architettura di rete Zero Trust è un modello che consente a un utente di identificare una specifica "superficie di protezione".Questa superficie può includere aspetti particolari dei dati, delle app o dei servizi più importanti di una reteÈ una strategia che rimuove il concetto di fiducia dalla struttura di sicurezza di un'aziendaBasato sul principio del "dubbio sempre", Zero Trust è stato creato in modo da proteggere le moderne reti digitali senza sacrificare l'esperienza e il controllo dell'utente

Cos'è un modello di sicurezza?

Il modello di sicurezza Zero Trust si basa su tre valori fondamentali:

• Facile accesso a tutti i dispositivi indipendentemente dalla loro posizione
• Strategia dei meno privilegiati dal basso verso l'alto e controllo rigoroso
• Rigoroso monitoraggio dell'ecosistema

A giudicare da questi tre valori primari della sicurezza Zero Trust, possiamo affermare che questo metodo di sicurezza non richiede modifiche alle misure di sicurezza esistentiAl contrario, si basa sul familiare modello di sicurezza su cui opera la maggior parte delle policy di sicurezzaE, quando guardiamo a questo dalla definizione di un modello di sicurezza, questo ha perfettamente senso: "Un modello di sicurezza è qualsiasi modello di computer utilizzato per identificare e imporre metodi di sicurezzaÈ un quadro su cui si sviluppa una specifica politica aziendale”Sebbene questa definizione sia stata creata anni prima della sicurezza Zero Trust, si applica ancora a questo sistema di sicurezza, rendendo Zero Trust l'esempio di maggior successo di un modello di sicurezza di rete fino ad oggi

Le tecnologie alla base di Zero Trust

La filosofia principale alla base della sicurezza Zero Trust è presumere che la rete sia suscettibile agli aggressori sia dall'interno che dall'esternoIn linea con questo, il principio dei prodotti Zero è quello di presumere che nessun utente o dispositivo debba essere considerato automaticamente attendibileSuccessivamente, la sicurezza Zero Trust applica un cosiddetto modello di accesso con "privilegio minimo".Significa che l'utente ottiene solo il livello minimo di accesso di cui ha bisognoQuesta base di necessità di sapere riduce al minimo la potenziale esposizione dell'utente alle parti della rete che contengono informazioni sensibiliOltre a limitare l'accesso agli utenti, Zero Trust fa lo stesso quando si tratta di dispositiviIl modello Zero Trust dovrebbe monitorare quanti dispositivi diversi stanno tentando di accedere al sistema e assicurarsi che ogni dispositivo sia autorizzato, indipendentemente dall'attività precedente dell'utente

Un altro aspetto essenziale di Zero Trust è Autenticazione a più fattoriAbbiamo toccato questo argomento qualche settimana fa quando abbiamo parlato di tutti i vantaggi che MFA offre ai suoi utentiPer riassumere in poche frasi, MFA richiede a un utente di inserire più di un documento di identificazione quando accede alla reteGli esempi più popolari di questo sono piattaforme come Google e Facebook, che richiedono all'utente di inserire sia la password che il codice inviato a un altro dispositivo, solitamente a un numero di cellulare specifico

Il modo in cui funziona Zero Trust significa che non dipende da una posizione particolareHa lati positivi e negativiGli aspetti positivi sono che gli utenti possono accedere ai dati da qualsiasi luogo: lavoro, casa, bar o persino all'estero, purché verifichino la propria identità durante l'accessoL'aspetto negativo di questo ricade sull'azienda, e sta nel fatto che il metodo Zero Trust deve essere diffuso su tutto l'ambiente di rete dell'aziendaTutto ciò significa anche che i carichi di lavoro sono altamente dinamici e possono spostarsi su più data center, indipendentemente dal fatto che siano pubblici, privati ​​o ibridi

Le aziende Zero Trust non dovrebbero davvero fidarsi di nessuno?

Sebbene la sicurezza Zero Trust abbia dimostrato di essere un modello di protezione della rete di grande successo, molti esperti di sicurezza suggeriscono che potrebbe funzionare in un modo leggermente diversoInvece di rifiutare tutti i siti, gli esperti suggeriscono che Zero Trust dovrebbe autorizzare i siti Web affidabili e conosciutiTuttavia, al momento, è altamente improbabile che ciò accada, principalmente per due motivi: la creazione di un tale sistema non ridurrà il carico di lavoro dell'azienda di un margine significativoInoltre, aumenterebbe il potenziale rischio di infiltrazione attraverso siti legittimi, poiché annunci dannosi o malware possono infettare anche siti attendibili

La verità è che limitare l'accesso a utenti e dispositivi a volte crea ostacoli per gli utenti e richiede anche lavoro e risorse extra da parte dell'azienda che implementa un tale sistemaDa un lato, gli utenti devono costantemente richiedere l'accesso, mentre dall'altro, il personale IT dell'azienda deve spostare la propria attenzione da altre questioni di rete significative per monitorare e investigare le richieste degli utentiComunque sia, i siti Web che mirano alla massima sicurezza della rete non dovrebbero fidarsi di alcun sito Web o utenteNon c'è modo di mantenere un sistema di sicurezza efficace al 100%, ma implementare un tale sistema è la cosa più vicina ad averne uno

 

Zero-Trust per il Web

Come accennato all'inizio di questa pagina, Google è stata la prima grande azienda a implementare la verifica Zero TrustHa aiutato in modo significativo Zero Trust a guadagnare importanza nel mondo onlinePoiché Google si affida principalmente alla sua tecnologia cloud, la potenziale possibilità di violazioni continua a salire poiché il numero di dipendenti di Google ha continuato a crescere nel corso degli anniGoogle ha implementato il sistema Zero Trust con quattro livelli separati: non attendibile, accesso di base, accesso con privilegi e accesso con privilegi elevatiA seconda del livello di autorizzazione del dispositivo o dell'utente, Google fornisce una quantità adeguata di informazioni accessibili

Altre aziende che utilizzano Zero Trust

Dopo Google, molte altre grandi aziende hanno implementato questa misura di sicurezzaTra i tanti grandi nomi che utilizzano la sicurezza Zero Trust sulle loro reti, prenderemo in considerazione due aziende molto diverse ma influenti nel loro campo: Siemens e KayakCominciamo con quest'ultimoKayak è un motore di ricerca di viaggi leader del settore con diversi miliardi di ricerche relative ai viaggi ogni annoAnche la struttura aziendale con dipendenti in tutto il mondo contribuisce al rischio di attacchi di hacker e altri comportamenti malevoliPer questo motivo, Kayak utilizza un sistema di sicurezza Zero Trust che limita i potenziali rischi per la sicurezza, sia per i propri dipendenti che per i visitatori

Dall'altra parte dello spettro, Siemens non opera nella stessa linea di business di KayakLa rete di digitalizzazione dell'azienda è uno dei maggiori produttori di applicazioni digitaliCon ciò in linea, l'esperienza dell'utente, l'affidabilità e la sicurezza della loro piattaforma sono alcuni degli aspetti più critici dei loro prodottiA causa della vastità della loro attività, Zero Trust è stata l'opzione migliore per Siemens, in quanto ha permesso loro di fare esattamente la cosa che abbiamo menzionato prima nell'articoloL'azienda è cresciuta e ha suddiviso la sua attività basata su cloud in diversi modelli di sicurezza, consentendo la massima sicurezza ai dati che lo richiedono

Hideez incorpora anche l'approccio Zero Trust nei nostri prodottiSe vuoi saperne di più su come possiamo rendere più sicura la tua attività

Attuazione Zero Trust

Con tutte le informazioni relative all'architettura Zero Trust, questo modello di sicurezza potrebbe sembrare opprimente e molto difficile da implementareMa non è affatto cosìPoiché Zero Trust non richiede alcun prodotto specifico per funzionare, non è così complicato e costoso da implementareÈ integrato nell'architettura di sicurezza esistente e non è necessario sostituire i dispositivi esistenti con nuovi prodotti high-techEcco un rapido processo in cinque fasi su come implementare la sicurezza Zero Trust:

1. Identifica la superficie che desideri proteggere
2. Mappa il flusso di rete
3. Crea un modello Zero Trust
4. Costruisci una politica di sicurezza Zero Trust
5. Monitorare e mantenere l'ambiente

Un modello di sicurezza Zero Trust implementato con successo può aiutarti a identificare dati, utenti, flussi di informazioni e potenziali rischi in modo più efficienteL'aggiunta di altri metodi di sicurezza, come l'autenticazione a due fattori, su superfici mappate, protegge ulteriormente la tua rete e ti consente di verificare le informazioni in modo ancora più corretto

Molto lavoro è necessario per determinare correttamente tutti i passaggi necessariInnanzitutto, devi identificare la superficie, che è un compito difficile da soloSuccessivamente, devi osservare e comprendere il modo in cui gli utenti utilizzano la tua rete e i tuoi serviziÈ un passaggio cruciale per determinare la tua politica Zero TrustDopo aver eseguito tutti questi passaggi, l'unica cosa che rimane è monitorare e controllare la superficie in tempo realeIn questo modo, sarai in grado di controllare le funzionalità e i meccanismi che richiedono modifiche e migliorare la tua politica man mano che procedi

Implementazione della microsegmentazione

Mentre siamo in tema di implementazione Zero Trust, un altro aspetto a cui vale la pena prestare attenzione è la microsegmentazioneÈ un metodo sicuro per creare zone di sicurezza speciali nei data centerImplementando la microsegmentazione, le aziende possono isolare carichi di lavoro specifici e proteggerli individualmenteLo scopo principale è rendere la sicurezza della rete più granulare e proteggere separatamente diverse parti dei dati distribuiti

Naturalmente, proprio come qualsiasi modello di sicurezza là fuori, la microsegmentazione ha i suoi vantaggi e svantaggiIl vantaggio principale della microsegmentazione è che consente alle aziende di ridurre la superficie complessiva delle minacceSignifica che, anche se un data center viene compromesso, il rischio che altri carichi di lavoro o applicazioni vengano violati è significativamente ridottoUn altro chiaro vantaggio della microsegmentazione è l'efficienza operativa che ne derivaQuando tutto è suddiviso in modo preciso, il personale aziendale può essere molto più efficiente nel monitorare, accedere e controllare tutti i dati e i sistemi di sicurezza in atto

D'altra parte, il più grande svantaggio di un tale sistema si presenta sotto forma di consolidamento stessoLe aziende che hanno operato per anni senza consolidare i propri dati in segmenti specifici avrebbero molto lavoro da fare quando decidessero di implementare la microsegmentazioneDetto questo, la microsegmentazione, insieme alla sicurezza Zero Trust, può fare molto per proteggere il business e aiutare a ridurre al minimo la potenziale minaccia per i dati dell'azienda