Cos’è un modello di sicurezza Zero Trust e perché sempre più aziende lo usano?

Alcune indicazioni da ESET Italia

Di Fabio Buccigrossi, Country Manager di ESET Italia

Già prima della pandemia, un sondaggio d’inizio 2020 di Cybersecurity Insiders e Pulse Secure su più di 400 responsabili IT di aziende in tutto il mondo, diverse per dimensione e settore, mostrava che il 72% di esse stava valutando d’implementare il modello Zero Trust nella propria strategia di sicurezza. Il miglioramento della sicurezza informatica è urgente anche a livello nazionale, tanto che il governo italiano ha recentemente approvato un decreto-legge che istituisce l’Agenzia per la Cybersicurezza Nazionale (ACN) con l’obiettivo di proteggere le funzioni essenziali dello Stato dalle cyber minacce e di sviluppare le capacità per prevenirle e contrastarle in maniera adeguata.

Cosa significa nello specifico Zero Trust?

Zero Trust è un termine coniato nel 2010 dagli analisti di Forrester Research e identifica un modello di sicurezza che segue il principio di “non fidarsi mai e verificare sempre” ogni entità, sia essa interna o esterna al perimetro aziendale di un’organizzazione. Attraverso questo approccio, che non ammette una fiducia aprioristica, si garantisce la sicurezza di ciascuna delle risorse e delle entità chiave di un’azienda, quali dati, reti, dispositivi, carichi di lavoro e persone.

La differenza sostanziale rispetto al tradizionale modello di sicurezza IT è che, mentre quest’ultimo considera attendibili per impostazione predefinita tutti coloro che si trovano all’interno della rete aziendale, pregiudicando così la sicurezza delle risorse dell’organizzazione qualora un utente malintenzionato riesca ad accedere ad essa, il modello Zero Trust presuppone che quest’ultimo sia già all’interno della rete, evitando così di dare fiducia indiscriminata a utenti e dispositivi senza previo controllo.

Come implementare il modello Zero Trust in azienda?

Un’organizzazione che decide d’implementare il modello Zero Trust dovrebbe sviluppare le seguenti tre aree fondamentali:

Visibilità: è importante identificare i dispositivi e le risorse da monitorare e proteggere, avendo così visibilità su tutti gli asset e i punti d’accesso.

Policy: è necessario stabilire delle policy efficaci, tali da consentire solo a determinate persone di accedere a risorse specifiche.

Automazione: bisogna automatizzare i processi per garantire la corretta applicazione delle policy, consentendo altresì all’organizzazione di adattarsi celermente a qualsiasi cambiamento rispetto alle procedure standard.

Facendo leva su questi tre elementi, il modello di sicurezza Zero Trust è capace di costruire difese attorno a ciascuna entità critica aziendale.

Perché c’è sempre più interesse nell’adozione del modello Zero Trust?

Come riportano i ricercatori Forrester, la metodologia Zero Trust permette di controllare e conoscere tutti i dati che si hanno in ogni istante e, in caso di violazione della sicurezza, è in grado di rilevare tempestivamente il momento e il luogo in cui gli aggressori potrebbero aver rubato i dati. Partendo dal presupposto che, come evidenzia il report del 2020 di IBM e Ponemon Institute, il costo medio di una violazione dei dati a livello globale è di 3,86 milioni di dollari e il tempo medio per identificarla e contenerla è di 280 giorni, il modello Zero Trust rappresenta una valida soluzione.

Altri aspetti da considerare sono la diffusione crescente dell’approccio Bring Your Own Device (BYOD) e della modalità di lavoro a distanza, che richiedono ai dipendenti di poter accedere alle risorse interne della propria organizzazione da qualsiasi luogo e in qualsiasi momento; sono da valutare anche l’aumento dei tentativi di attacco di brute force contro il Remote Desktop Protocol (RDP), registrato durante la pandemia, e l’adozione e l’utilizzo crescenti di servizi di storage in cloud per ospitare dati, risorse e servizi critici aziendali.

Ulteriori vettori problematici per il tradizionale modello di sicurezza perimetrale sono gli attacchi alla supply chain, l’esternalizzazione dei servizi e il turnover dei dipendenti.

Per ulteriori informazioni e per conoscere nel dettaglio come ESET attua nel concreto l’approccio Zero Trust alla Endpoint Security, segnaliamo il webinar in programma il 21 ottobre 2021 alle ore 10:30. Ulteriori informazioni a questo link.

Per ulteriori informazioni consultare www.welivesecurity.com