Come mai il framework ZERO TRUST insiste sull'eliminazione delle VPN? Se da un lato l'apertura di VPN per permettere il lavoro da remoto ai dipendenti è relativamente veloce, il grado di sicurezza delle stesse è ormai insufficiente rispetto i rischi connessi al cyber-crime.
Le vulnerabilità delle VPN sono dovute sia alla tecnologia ormai datata sia alla cyber-hygiene dei PC che la usano per accedere in modo non protetto alle reti e alle applicazioni aziendali.
Gli IT-Manager informati conoscono da tempo la problematica, oggi più che mai attuale nel periodo post corona-virus ed il relativo boom dello smart-working. Ma mentre non vi erano alternative percorribili fino a qualche anno fa, ora la filosofia di sicurezza Zero Trust permette alle aziende di eliminare totalmente i rischi con tempi e budget limitati. Oggi l'opportunità è di ridurre il perimetro attaccabile invece di aumentarlo con le VPN: è possibile accedere alla rete aziendale in modo completo, con registrazioni a più fattori, con rapporti periodici o event-based e mantenendo i dipendenti o terze parti fuori de-facto dalla rete vera e propria.
Il 20% delle aziende ha il 25% di dipendenti che lavorano in remoto. L'80% di tutti i dispositivi BYOD non è gestito security-wise in alcun modo. Le aziende impiegano app basate sul cloud per circa il 50% del tempo. Questi dati devono far riflettere.
Se si aggiungono anche i rischi introdotti da una VPN allora la probabilità di rimanere vittime di un attacco ransomware è elevato. Per filosofia le VPN creano una breccia nel firewall della rete dando accesso alla rete senza limitazioni. Inoltre, non sostengono autenticazioni multifattoriali (MFA) quindi non riescono a verificare l'identità degli utenti. Infine, le VPN necessitano di elevate risorse.
Il cloud consente agli IT-Manager di avere una infrastruttura ad approccio Zero Trust chiudendo i firewall in entrata e mantenendo fuori dalla rete gli utenti. Al contempo possono fornire agli utenti l'accesso minimo necessario alle applicazioni utili al task.
Il primo vantaggio di eliminare le VPN è il controllo centralizzato per l'autenticazione degli utenti e sia per il monitoraggio. ciò genera anche un risparmio di tempo del reparto IT.
Un altro beneficio è un accesso remoto semplice e sicuro. Gli IT-Manager sanno che in indirizzo IP non identifica necessariamente un utente trustable. Invece l'approccio Zero Trust verificata continuamente identità, dispositivo, ubicazione, magari orario e appartenenza dell'utente ad un gruppo specifico. In caso positivo si riconoscono solo i privilegi minimi per una applicazione. Quindi, un utente può usare il proprio dispositivo preferito, dimostrare la propria identità e accedere alle applicazioni per le quali sono autorizzati.
Ma i vantaggi per strumenti aderenti allo Zero Trust in sostituzione delle VPN, sono molte di più. Spesso forniscono visibilità e rapporti su attività e durate delle stesse (time tracking). Le PMI italiane non sono più obbligate a mettersi in case le vulnerabilità delle VPN. Sono disponibili soluzioni semplici, leggere e sicure, ad esempio Privileged Remote Access di BeyondTrust. I tempi dell'accesso ampio e pericoloso a tutta la rete aziendale è finita. Conviene, invece, minimizzare il perimetro potenzialmente attaccabile ed eliminare la "vulnerabilità risorsa umana" che con il BYOD rende insicure le reti aziendali.
