Per coloro che non lavorano nella sicurezza IT, il concetto di Zero Trust può suonare negativo. "Cosa? Non dovrei fidarmi dei miei dipendenti?"
Quando alcuni dei CISO e IT Manager con cui lavoriamo spiegano il concetto di fiducia-zero ai colleghi non addetti alla sicurezza, la conversazione spesso inizia con il piede sbagliato. Tuttavia, quando la Casa Bianca ha recentemente emesso una direttiva sulla sicurezza informatica per le agenzie governative, l’approccio Zero Trust ha ottenuto un voto di legittimità che ha costretto i dirigenti C-Level non tecnici a prestare molta attenzione.
Zero trust è un concetto che esiste da tempo nel settore della sicurezza, ma cosa significa e come lo si implementa?
Cos'è lo Zero Trust
Per cominciare, Zero Trust non è un singolo prodotto. Piuttosto, Zero Trust è una strategia dove una serie di prodotti e processi di lavoro interni all’azienda possono aiutare ad implementarla. Ma allora, se non è un prodotto, perché è così importante?
Nel 2020, la National Association of Corporate Directors (NACD) ha pubblicato una guida per i consigli di amministrazione sulla supervisione del rischio informatico. Uno dei principi chiave includeva "avere un approccio integrato... per affrontare il rischio di sicurezza informatica nell'intera azienda". Questa ovvia raccomandazione non è così ovvia come potrebbe sembrare. A differenza di altri ambiti del dipartimento IT, la cybersecurity opera in un panorama in continua evoluzione di minacce, attacchi e gang criminali, vettori d’attacco, vulnerabilità delle applicazioni, ecc.. La natura irregolare degli attacchi informatici spesso determina una difesa irregolare. Zero Trust ha lo scopo di mettere una “spina dorsale strategica” dentro la tua difesa informatica aziendale. La raccomandazione di NACD non è solo una banalità. Uno studio ha rilevato che le organizzazioni che avevano una strategia di sicurezza informatica non solo hanno riscontrato meno violazioni, ma si sono anche riprese più rapidamente da un attacco.
Come implementare Zero Trust in azienda
La prima domanda che molti CISO e IT Manager si pongono è: "Da dove comincio?" Generalmente consigliamo ai CISO e IT Manager di iniziare con:
Segmentazione
La segmentazione (nota anche come micro-segmentazione) inserisce delle porte nella tua infrastruttura per impedire agli aggressori di effettuare dei lateral movement e passare da un qualsiasi end-point “bucato” ai tuoi server e database dove le informazioni più seinsibili e riservate sono presenti.
Il phishing, infatti, non consiste nell'attaccare un utente specifico, si tratta di entrare in una rete aziendale per spostarsi lateralmente ed evadere eventuali difese, al fine di trovare informazioni sensibili. Purtroppo, molte organizzazioni hanno ancora strumenti di sicurezza obsoleti ed implementano l'opposto di Zero Trust, ovvero donano fiducia implicita a chi è dentro la rete aziendale.
La segmentazione porta una postura Zero Trust eliminando la fiducia come se non avessi un firewall che tiene fuori i cattivi: presumi che siano già dentro e che stiano tentando di muoversi lateralmente verso le risorse ed asset critici.
Oggi la segmentazione è di facile implementazione su tutta l’attuale infrastruttura IT aziendale, per tale ragione deve essere il primo passo verso lo Zero Trust. Soluzioni innovative come l’israeliana ZERO NETWORKS, nominata Cool Vendor da GARTNER, implementa proprio la microsegmentazione basata su MFA – Multi Factor Authentification (soluzione proprietaria e brevettata).
Identità
Ciò significa garantire che gli utenti siano chi dicono di essere. Ad esempio assicurarsi che Mario Draghi sia Mario Draghi quando accede alla sua e-mail della Consiglio dei Ministri. Questo è il motivo per cui molte organizzazioni, Apple, Netflix, la tua banca, ti inviano codici tramite telefono per verificare che sei tu. Conosciuto come autenticazione a più fattori (MFA), è un approccio che funziona.
Tuttavia, presenta l’inconveniente di funzionare principalmente con sistemi basati su cloud. Ecco allora che servono soluzioni come ZERO NETWORKS che la rende possibile su qualsiasi infrastruttura on-premises.
Non dovrebbero esserci compromessi tra sicurezza, costi e scalabilità
Quando si sceglie una soluzione ZTNA, spesso si ha timore di dover scendere a compromessi. Ad esempio, molti pensano che le restrizioni rigorose possano consumare risorse IT e per tale ragione si debba scendere a compromessi e limitare solo le parti critiche della rete. Quindi il dubbio, a fronte dell'implementazione ZTNA, diventa quale aspetto considerare prioritario tra sicurezza, convenienza e scalabilità. In realtà ciò è vero solo se si scelgono soluzioni che lavorano solo su uno o due di questi fattori.
Invece ZERO NETWORKSS ha affrontato da subito il mercato con una soluzione innovativa e che non forza a compromessi. Per tale ragione la soluzione è premiata da GARTNER sia come COOL VENDOR che come soluzione ZTNA all'interno della guida "Market Guide for Zero Trust Network Access".
Questo approccio innovativo utilizza l'infrastruttura esistente dell'azienda ed impone severi controlli di rete, automatizzando la creazione e la manutenzione dei perimetri di utenti e dispositivi per garantire che l'accesso sia limitato solo a ciò che è normalmente necessario, nient'altro.
Quando è necessario un nuovo accesso, gli utenti possono ottenerlo, utilizzando un approccio self-service che applica un processo standard di MFA per confermare la legittimità della richiesta. La configurazione è facile e la manutenzione non richiede sforzo, poiché richiede un intervento IT minimo o nullo per mantenere una postura zero trust su larga scala.
Una seconda soluzione che opera secondo l'approccio Zero Trust è DECEPTIVE BYTES, innovativa soluzione brevettata e Made-in-Israel. Difende tutti gli end-point (quindi la rete) dall’ingresso di malware/ransomware moderni, evoluti, sconosciuti, anche zero-day. Ciò lo si ottiene con soli 30 secondi per end-point di deploy di prodotto. Applica il concetto Zero Trust non fidandosi di nessuno voglia accedere all’end-point, eseguendo operazioni di deception su tutti, monitorando proattivamente per tecniche di “defense evasion”.
La soluzione crea informazioni dinamiche e ingannevoli che interferiscono con qualsiasi tentativo di ricognizione dell’ambiente e dissuadono l’attaccante dall’eseguire i suoi intenti maliziosi, attraverso tutte le fasi dell'attacco – coprendo tecniche di malware avanzate e sofisticate, assicurandosi costantemente che tutti gli end-point e dati nell’azienda siano protetti. Premiato da GARTNER come COOL VENDOR (leggi il report ufficiale).
Insidie da evitare
In quella che può sembrare una digressione, devo spiegare come lo zero trust sia diventato una parola d'ordine del settore che distrae. Oggi, molti vendor di prodotti di cybersecurity millantano capacità zero-trust che, in realtà, si mascherano da pubblicità aggressiva che cavalca l'approccio più efficace nella moderna cybersecurity. Esse distorcono il vero significato di Zero Trust: se un venditore parla di zero trust, assicurati che non sia sinonimo di "comprami".
Spera che ora tu abbia una buona idea di base sullo Zero Trust e di dove partire (altre informazioni più di dettaglio le trovi in questo articolo).
La chiave per la fiducia zero sta effettivamente portando un approccio strutturato dentro molte PMI e grandi aziende. Sempre di più, i clienti ci dicono che i consigli di amministrazione e gli amministratori delegati vogliono un approccio Zero Trust per mettere in sicurezza la propri azienda dai notevoli rischi del moderno cyber-crime. Un approccio per priorità, quindi ragionando prima sugli asset e risorse più critiche da proteggere con la segmentazione, ma anche sui dipendenti più a rischio da difendere tramite MFA, è certamente la strada giusta da percorrere.
L'innovativa soluzione Made-in-Israel di ZERO NETWORKS
La micro-segmentazione è resa semplice e scalabile nella innovativa soluzione proprietaria e brevettata di ZERO NETWORKS: proteggi la tua azienda da qualsiasi ransomware o data breach.
Si tratta di una segmentazione basata sull'identità, appunto detta micro-segmentazione, ed utilizza il MFA (Multi Factor Authentication) ovunque nella rete per bloccare ransomware e attacchi avanzati, sempre.
Questa micro-segmentazione automatizzata non utilizza agent e viene applicata a client, server, casa, ufficio, on-premise, cloud e persino dispositivi IoT/OT.
Grazie all’approccio pionieristico di "accesso privilegiato just-in-time" la soluzione micro-segmenta qualsiasi rete in pochi minuti senza i grattacapi associati agli agent.
Resilienza ibrida - Porta la resilienza nella tua rete aziendale per contrastare gli aggressori e i penetration tester. Permette la protezione di un ambiente ibrido, quindi protegge risorse sia on-cloud che on-premisis: fai dormire sonni tranquilli al tuo consiglio di amministrazione.
Visibilità - Con l'accesso privilegiato just-in-time, ogni accesso è controllato e visibile mentre il CISO e le eventuali altre persone del team-cyber godono di un piano di controllo unificato per visualizzare e controllare tutto nella rete.
Riduci i costi di sicurezza - Con le reti segmentate, puoi usufruire di operazioni di sicurezza semplificate e di una spesa ridotta per NAC, firewall interni, IPS e altro. Infatti micro-segmentazione significa che ogni utente dovrebbe essere in grado di accedere solo alle informazioni e alle risorse necessarie per scopi legittimi. Ciò è un’ottima idea in teoria, che poche organizzazioni in passato hanno praticato nella realtà. Purtroppo, gli sforzi passati per la micro-segmentazione della rete hanno richiesto agent ingombranti o servizi professionali costosi. Zero Networks, invece, ha trovato un nuovo paradigma per ribaltare l'idea della micro-segmentazione che ora è veloce, facile, efficace e implementabile da chiunque per ottenere una sicurezza di livello militare. Come?
MFA self-service - Zero Networks applica l'accesso privilegiato just-in-time con MFA self-service per applicare la sicurezza per attività anomale, utenti privilegiati o ogni volta che è richiesta una sicurezza estrema.
Automazione invisibile - Zero Networks offre una protezione efficace senza influire sull'esperienza quotidiana dei dipendenti, automatizzando la micro-segmentazione della rete attraverso protocolli non rischiosi per garantire che le routine standard dei dipendenti non subiscano interruzioni.
No agent - Zero Networks si implementa come virtual appliance non in linea, applicando criteri tramite controller remoto per i firewall per eliminare la gestione degli agent e i problemi di usabilità.
