Zero Trust è un framework che presuppone che ogni connessione e endpoint siano minacce, sia esterne che interne all'interno della sicurezza di rete di un'azienda. Consente alle aziende di elaborare una strategia IT completa per soddisfare le esigenze di sicurezza di un ambiente hybrid cloud. Zero Trust implementa una protezione adattiva e continua e offre la possibilità di gestire le minacce in modo proattivo.

In altre parole, questo approccio non si fida mai degli utenti, dei dispositivi o delle connessioni per nessuna transazione e li verificherà tutti per ogni singola transazione. Ciò consente alle aziende di ottenere sicurezza e visibilità in tutta l'azienda e di applicare politiche di sicurezza coerenti, con conseguente rilevamento e risposta più rapidi alle minacce.

Il modello Zero Trust è nato nell'iniziativa "BeyondCorp" sviluppata da Google nel 2010. L'obiettivo dell'iniziativa era quello di garantire l'accesso alle risorse in base all'identità e al contesto, allontanandosi dal tradizionale modello di sicurezza basato sul perimetro. Questa strategia ha permesso a Google di fornire ai dipendenti un accesso sicuro alle applicazioni e ai dati aziendali da qualsiasi luogo, utilizzando qualsiasi dispositivo, senza la necessità di una VPN.

Nel 2014, John Kindervag, analista di Forrester Research, ha coniato il concetto Zero Trust per descrivere questo nuovo paradigma della sicurezza in un report intitolato "The Zero Trust Model of Information Security". Ha proposto un nuovo modello di sicurezza che presuppone che nessuno, all'interno o all'esterno della rete dell'organizzazione, possa essere considerato affidabile senza verifica. Il rapporto ha delineato il modello Zero Trust basato su due principi fondamentali: "Non fidarsi mai, verificare sempre".

Tutti gli utenti, i dispositivi e le applicazioni sono considerati non attendibili e devono essere verificati prima che venga loro concesso l'accesso alle risorse. Il principio del privilegio minimo significa che a ogni utente o dispositivo viene concesso il livello minimo di accesso richiesto per svolgere il proprio lavoro e l'accesso viene concesso solo in base alla necessità di informazioni.

Da allora, il concetto di Zero Trust ha continuato a prendere piede, con molte organizzazioni che ne hanno adottato le architetture per proteggere meglio i propri asset digitali dalle minacce informatiche. Comprende vari principi e tecnologie di sicurezza che vengono implementati per rafforzare la sicurezza e ridurre il rischio di violazioni di sicurezza.

• Zero Trust basato sulle identità: questo modello si basa sul principio della rigorosa verifica dell'identità, in cui ogni utente o dispositivo viene autenticato e autorizzato prima di accedere a qualsiasi risorsa. Si basa sull'autenticazione a più fattori, sui controlli di accesso e sui principi dei privilegi minimi.
• Zero Trust basato sulla rete: si concentra sulla protezione del perimetro della rete segmentando la rete in segmenti più piccoli. Ha lo scopo di ridurre la superficie di attacco limitando l'accesso a risorse specifiche solo agli utenti autorizzati. Questo modello utilizza tecnologie come firewall, VPN e sistemi di rilevamento e prevenzione delle intrusioni.
• Zero Trust basato sui dati: questo modello mira a proteggere i dati sensibili crittografandoli e limitando l'accesso agli utenti autorizzati. Impiega la classificazione e l'etichettatura dei dati, la prevenzione della perdita di dati e le tecnologie di crittografia per proteggere i dati inattivi, in transito e in uso.
• Zero Trust basato sulle applicazioni: si concentra sulla protezione delle applicazioni e dei dati associati. Presuppone che tutte le applicazioni non siano affidabili e debbano essere verificate prima di accedere ai dati sensibili. Utilizza controlli a livello di applicazione, come la protezione del tempo di esecuzione e la containerizzazione, per proteggersi da attacchi come l'iniezione di codice e il malware.
• Zero Trust basato sui dispositivi: questo modello protegge i dispositivi stessi (ad esempio, smartphone, laptop e dispositivi IoT). Si presuppone che i dispositivi possano essere compromessi e devono essere verificati prima di accedere ai dati sensibili. Impiega controlli di sicurezza a livello di dispositivo, quali protezione degli endpoint, crittografia dei dispositivi e funzionalità di pulizia remota.

Questi modelli sono progettati per lavorare insieme per creare un'architettura Zero Trust completa che può aiutare le organizzazioni a ridurre la superficie di attacco, migliorare il livello di sicurezza e minimizzare il rischio di violazioni di sicurezza. Tuttavia, è importante notare che i tipi specifici di modelli di sicurezza Zero Trust e la loro implementazione possono variare a seconda delle dimensioni dell'organizzazione, del settore e delle esigenze di sicurezza specifiche.

Il modello Zero Trust è diventato un approccio popolare alla cybersecurity moderna. È stato adottato da molte organizzazioni per affrontare la crescente minaccia di attacchi informatici e violazioni dei dati nel mondo complesso e interconnesso di oggi. Di conseguenza, molti fornitori di tecnologia hanno sviluppato prodotti e servizi specificamente progettati per supportare le architetture Zero Trust.

Esistono anche molti framework e standard che le organizzazioni possono utilizzare per implementare i principi di sicurezza Zero Trust nelle loro strategie di cybersecurity con la guida del National Institute of Standards and Technology (NIST).

Il NIST è un'agenzia governativa non regolamentare del Dipartimento del Commercio degli Stati Uniti, che ha lo scopo di aiutare le aziende a comprendere, gestire e ridurre meglio i rischi di cybersecurity per proteggere reti e dati. Hanno pubblicato un paio di guide complete altamente consigliate sullo Zero Trust:

NIST SP 800-207, Zero Trust Architecture

NIST SP 800-207, Zero Trust Architecture (link esterno a ibm.com) è stata la prima pubblicazione a stabilire le basi per un'architettura Zero Trust. Definisce il modello Zero Trust come un insieme di principi guida (anziché tecnologie e implementazioni specifiche) e include esempi di architetture Zero Trust.

NIST SP 800-207 sottolinea l'importanza di un monitoraggio continuo e di un processo decisionale adattivo e basato sul rischio. Raccomandano di implementare un'architettura Zero Trust con i sette pilastri del modello Zero Trust (tradizionalmente noti come i sette principi del modello Zero Trust)

I sette pilastri del modello Zero Trust

1. Tutte le fonti di dati e i servizi di elaborazione sono considerati risorse.
2. Tutte le comunicazioni sono protette, indipendentemente dalla posizione della rete.
3. L'accesso a singole risorse aziendali viene concesso in base alla sessione.
4. L'accesso alle risorse è determinato da criteri dinamici, tra cui lo stato osservabile dell'identità del client, dell'applicazione/servizio e dell'asset richiedente, e può includere altri attributi comportamentali e ambientali.
5. L'azienda monitora e misura l'integrità e il livello di sicurezza di tutti gli asset posseduti e associati.
6. Tutte le autenticazioni e le autorizzazioni delle risorse sono dinamiche e applicate rigorosamente prima che l'accesso sia consentito.
7. L'azienda raccoglie quante più informazioni possibili sullo stato attuale degli asset, dell'infrastruttura di rete e delle comunicazioni e le utilizza per migliorare il proprio livello di sicurezza.

Nel complesso, NIST SP 800-207 promuove un approccio globale al modello Zero Trust basato sui principi del privilegio minimo, della microsegmentazione e del monitoraggio continuo, incoraggiando le organizzazioni a implementare un approccio di sicurezza a più livelli che incorpori più tecnologie e controlli per proteggersi dalle minacce.

NIST SP 1800-35B, Implementing a Zero Trust Architecture

NIST SP 1800-35B, Implementing a Zero Trust Architecture (link esterno a ibm.com) è l'altra pubblicazione altamente consigliata da NIST ed è composta da due argomenti principali:

1. Problemi di sicurezza IT per i settori privato e pubblico.
2. Linee guida "pratiche" per implementare un'architettura Zero Trust in ambienti e workflow aziendali con approcci basati su standard, utilizzando tecnologie disponibili in commercio.

La pubblicazione mette in relazione le sfide della sicurezza informatica (applicabili ai settori pubblico e privato) ai principi e ai componenti di un'architettura Zero Trust, in modo che le organizzazioni possano prima autodiagnosticare correttamente le proprie esigenze. Possono quindi adottare i principi e i componenti di un'architettura Zero Trust per soddisfare le esigenze della loro organizzazione. Pertanto, NIST SP 1800-35B non identifica tipi specifici di modelli Zero Trust.

Il NIST utilizza lo sviluppo iterativo per le quattro architetture Zero Trust che hanno implementato, consentendo loro con facilità e flessibilità di apportare miglioramenti incrementali e avere continuità con il framework Zero Trust man mano che si evolve nel tempo.

Le quattro architetture Zero Trust implementate dal NIST sono le seguenti:

1. Distribuzione basata su agenti/gateway del dispositivo.
2. Distribuzione basata su enclave.
3. Distribuzione basata su portale delle risorse.
4. Isolamento delle applicazioni del dispositivo tramite sandbox.

Il NIST ha partnership strategiche con molte organizzazioni tecnologiche (come IBM) che collaborano per stare al passo con questi cambiamenti e le minacce emergenti.

La collaborazione consente a IBM di dare priorità allo sviluppo per garantire che le soluzioni tecnologiche siano in linea con i sette principi del modello Zero Trust, proteggendo i sistemi e i dati dei clienti IBM.

Maggiori informazioni sull'importanza del modello Zero Trust sono disponibili nel Report Cost of a Data Breach 2022 di IBM o connettiti direttamente a uno degli esperti di Zero Trust di IBM.

• Implementa una strategia Zero Trust per il tuo trasferimento di file
• Formazione sui principi del modello Zero Trust di IBM Security
• NIST SP 800-207, Zero Trust Architecture (link esterno a ibm.com)
• NIST Special Publication (SP) 1800-35B, Implementing a Zero Trust Architecture (link esterno a ibm.com)