Architettura Zero Trust e falle di sicurezza

Il paradosso delle moderne difese aziendali risiede spesso nella frizione tra il rigore delle policy e le necessità operative. In una recente intervista promossa da CISO Series, il conduttore David Spark, Andy Ellis, Principal di Duha e Patti Degnan, Operating Partner presso Andreessen Horowitz ed ex CISO di Notion, hanno analizzato le vulnerabilità strutturali dei modelli difensivi avanzati.

Al centro dell’analisi emerge un dato chiaro: i pilastri teorici di un’architettura Zero Trust subiscono continui attacchi da scelte tattiche di business. A questo si aggiungono l’avvento di tecnologie autonome e i disallineamenti organizzativi tra i reparti aziendali.

Le falle della posta elettronica nell’era dello Zero Trust

Uno dei punti di rottura più evidenti nelle strategie difensive emerge nella gestione dei flussi di comunicazione quotidiani. Alan Lefort di Strongest Layer riassume questa vulnerabilità in modo netto: «La vostra organizzazione ha speso milioni per l’architettura Zero Trust. Poi il team di sicurezza email ha creato un buco permanente in tutto questo».

Questa dinamica si materializza quando le aziende inseriscono fornitori esterni, dirigenti o consulenti in liste di approvazione permanenti. Le cosiddette whitelist introducono così eccezioni continue ai principi cardine dello Zero Trust. Un esempio comune si verifica con le piattaforme di gestione documentale come DocuSign. Spesso i documenti inviati a nome dell’amministratore delegato finiscono in quarantena proprio durante la chiusura di un accordo cruciale. Di fronte alla necessità di finalizzare il contratto in giornata, la richiesta di una whitelist prevale regolarmente sulle restrizioni di sicurezza.

La gravità organizzativa dei vertici aziendali

Secondo Degnan, l’adozione di queste liste non risponde a criteri tecnici di sicurezza. Al contrario, rappresenta una decisione prettamente politica e di business. Degnan osserva che l’amministratore delegato esercita una gravità organizzativa superiore rispetto a quella del CISO. Per questo motivo, i team di sicurezza concedono eccezioni sotto la spinta dell’urgenza. Tali concessioni, sfortunatamente, non passano mai attraverso una successiva revisione o revoca.

Falsi miti sulla sicurezza email

Ellis propone una lettura alternativa della questione. Il manager sostiene che il conflitto tra Zero Trust e sicurezza della posta elettronica costituisca una falsa scelta. L’obiettivo fondamentale di un approccio Zero Trust consiste nel garantire la resilienza del sistema. Anche se un utente clicca su un collegamento malevolo, l’infrastruttura deve impedire danni sistemici. Le credenziali, infatti, non devono risultare intercettabili tramite tecniche di phishing.

Ciononostante, strumenti come DocuSign rappresentano un vettore critico per attacchi di tipo Business Email Compromise. Ellis riferisce di aver ricevuto fino a cinquanta messaggi di phishing camuffati da notifiche di DocuSign in concomitanza con transazioni finanziarie rilevanti. L’esistenza stessa delle whitelist dimostra che la politica di sicurezza aziendale è interrotta alla radice. Se i sistemi di controllo bloccano comunicazioni valide, il difetto risiede nella configurazione dello strumento difensivo. La colpa non è del vertice aziendale che chiede continuità operativa.

Il paradigma infranto delle identità digitali

Le difficoltà nel mantenere un framework di Zero Trust coerente si amplificano con l’integrazione dell’intelligenza artificiale agentica. Thomas Maldonado, CISO della NFL, lancia un monito preciso: «Se trattiamo l’IA agentica come un semplice account di servizio, mancheremo il cambiamento».

Il problema strutturale risiede nella concezione stessa dei framework di Identity and Access Management (IAM). Gli sviluppatori li hanno storicamente edificati sull’assunto che a ogni identità digitale corrisponda un essere umano. Questa logica si rivelava solida in passato, ma gli agenti autonomi rompono oggi gli schemi operativi tradizionali.

Limiti del rilevamento delle anomalie comportamentali

Nelle metodologie classiche, il rilevamento delle anomalie si basava su vincoli fisici. L’impossibilità per un individuo di trovarsi in due luoghi contemporaneamente costituiva il parametro di base per identificare una potenziale minaccia. Al contrario, gli agenti artificiali operano simultaneamente su più ambienti per progettazione.

Maldonado individua quattro punti di pressione fondamentali che mettono in crisi i sistemi attuali: la proprietà, l’ambito d’azione, il ciclo di vita e il monitoraggio. Le aziende non hanno mai interamente risolto queste sfide per i vecchi account di servizio. Oggi, tuttavia, gli stessi problemi si ripresentano in modo autonomo su scale enormemente più ampie.

Il disallineamento tra sistemi IT e Risorse Umane

Ellis evidenzia come la gestione delle identità presentasse criticità profonde ben prima della diffusione dell’intelligenza artificiale. I framework IAM non tracciano gli esseri umani in quanto tali, bensì specifici ruoli operativi. Un singolo professionista assume vesti digitali differenti a seconda del contesto di lavoro. I sistemi informatici lo percepiscono quindi come entità distinte.

I dati indicano che il rapporto tra identità non umane e umane all’interno delle infrastrutture ha superato la quota di trenta a uno. Di conseguenza, le organizzazioni gestiscono appena il tre percento delle proprie identità complessive attraverso un modello inefficiente. Questo schema esclude il reale depositario delle informazioni anagrafiche: il dipartimento delle Risorse Umane.

Un esempio di questo scollamento si ha quando l’ufficio del personale pianifica il licenziamento di un dipendente a novanta giorni. Il sistema di gestione delle identità non recepisce questa informazione in tempo utile. L’insieme composto da un utente, dai suoi dispositivi e dai suoi agenti autonomi si comporta come una portaerei di grandi dimensioni. Diventa quindi indispensabile definire una baseline comportamentale riferita all’intera organizzazione piuttosto che ai singoli elementi isolati.

Il problema degli agenti orfani nell’infrastruttura

Questa mappatura globale si scontra con precisi limiti pratici. Degnan rileva la complessità nel definire una baseline organizzativa, poiché l’operazione presuppone la piena conoscenza dell’intero perimetro aziendale. La barriera principale per i CISO rimane l’impossibilità di monitorare la totalità degli eventi di rete. Le aziende presentano quasi sempre ambienti non analizzati o lasciati fuori dai radar perché estranei alla produzione.

La mancanza di una forte sinergia con il settore HR aggrava l’esposizione alle minacce interne. Un team di sicurezza rischia di accorgersi tardi del pericolo rappresentato da un insider se ignora la data di cessazione del rapporto di lavoro di un collaboratore.

La questione si complica ulteriormente quando un dipendente sviluppa decine di agenti autonomi e poi abbandona l’azienda. In assenza di un tracciamento rigoroso e di una chiara attribuzione di proprietà, questi agenti rimangono attivi. Di conseguenza, si trasformano in potenziali insidie nel momento esatto in cui le credenziali originarie del creatore giungono a scadenza.

La contrazione dei tempi di exploit delle vulnerabilità

La velocità dell’evoluzione delle minacce informatiche mette a dura prova i modelli di sicurezza di tipo reattivo. Un’analisi di Chris Hughes di Resilient Cyber sulle metriche del cosiddetto “Zero-day clock” mostra un quadro allarmante. Circa i due terzi delle vulnerabilità sfruttate subiscono attacchi prima o nello stesso giorno della loro divulgazione pubblica. Questo cambiamento radicale ha ridotto il tempo medio di sviluppo di un exploit dai settantuni giorni del 2018 a sole quattro ore nel 2024. A fronte di questa immediatezza, le organizzazioni riescono a risolvere in media soltanto il dieci percento delle nuove falle su base mensile.

I limiti delle regolamentazioni e il patching automatico

Degnan ritiene che l’introduzione di nuove regolamentazioni non sia sufficiente a risolvere il problema. Le istituzioni governative non possiedono le strutture necessarie per elaborare strategie di patching tempestive. Non possono quindi contrastare efficacemente l’automazione dei sistemi di attacco guidati dall’IA. La soluzione tecnica deve orientarsi verso la creazione di infrastrutture effimere dotate di capacità auto-riparanti. Questo approccio supera la prassi tradizionale basata sull’aggiornamento mensile delle immagini di sistema standard.

La reale attribuzione della responsabilità tecnica

Il dibattito si sposta sul piano organizzativo per stabilire a chi spetti la responsabilità materiale della risoluzione di tali falle. Ellis contesta le tesi di accademici come Bruce Schneier. Storicamente, diversi settori industriali hanno innalzato i propri standard di sicurezza anche senza interventi normativi diretti dei governi. Un esempio lampante è il comparto automobilistico prima dell’istituzione dell’NHTSA.

Nel contesto aziendale, Ellis afferma che la gestione delle vulnerabilità non rientra tra i compiti del CISO. La titolarità appartiene interamente a chi scrive, distribuisce e mantiene il codice del software. Per illustrare questa posizione, Ellis propone un’analogia: se Degnan fosse il pilota di un caccia F-16 e David Spark il suo capo motorista, nessuna riparazione avverrebbe sul velivolo senza l’approvazione e l’intervento diretto del motorista.

Se un soggetto esterno presentasse un elenco di settantacinque anomalie da correggere, l’esecuzione del lavoro rimarrebbe a carico del responsabile tecnico del motore. Di conseguenza, la titolarità dei difetti del codice è riconducibile ai team di ingegneria e alla figura del CTO.

Il passaggio dell’ansia operativa al CISO

Degnan fa notare come, nella realtà quotidiana, sia quasi impossibile trovare un direttore dell’ingegneria o un CTO disposto ad assumersi interamente tale onere. La risposta standard fornita ai team di sicurezza tende a scaricare il problema su chi ha individuato la falla.

Secondo Ellis, le strutture di sviluppo delegano l’intera ansia operativa al CISO, che spesso finisce per farsene carico. Il compito del responsabile della sicurezza consiste invece nell’educare l’amministratore delegato e il consiglio di amministrazione. Bisogna metterli a giorno sullo stato carente in cui versa la gestione delle vulnerabilità all’interno dei reparti di ingegneria software. Sebbene questo processo generi attriti interni, esso costituisce il dovere primario del ruolo.

La percezione del rischio e la gestione delle crisi d’immagine

La gestione della crisi e la percezione del rischio emergono con chiarezza quando si mettono a confronto scenari di minaccia differenti. Annmarie van den Herk propone un esercizio di valutazione. Da un lato vi è l’eventualità che un gruppo hacktivista pubblichi schermate non verificate che dichiarano la compromissione di un prodotto. Dall’altro lato si colloca il caso di un video falso generato dall’intelligenza artificiale che mostra una rapina ai danni dell’azienda.

Sia Ellis sia Degnan identificano il primo scenario come il peggiore per un CISO. Il video virale rappresenta un problema di pubbliche relazioni gestibile attraverso una comunicazione tempestiva. Al contrario, la pubblicazione di prove di violazione non confermate genera un panico interno prolungato. L’impossibilità logica di dimostrare un fatto negativo costringe i team di difesa a operare sotto il costante assunto che l’attacco sia andato a buon fine fino a prova contraria. Questo determina una crisi priva di confini definiti.

La quantificazione del ROI e il mercato delle startup

Questo stato di allerta permanente si collega alla difficoltà storica di dimostrare il valore economico della sicurezza. Joe, responsabile di Molto, evidenzia che il divario più critico per i leader del settore risiede nell’incapacità di illustrare come i meccanismi di protezione contribuiscano all’abilitazione del fatturato aziendale. Questa problematica trova sintesi in una domanda ricorrente citata da Steve Zalewski: «Come mi aiuta questo a vendere jeans?».

Ellis precisa che la funzione della sicurezza deve essere quella di agevolare lo sviluppo del business fondamentale. I manager non dovrebbero tentare di quantificare con precisione matematica l’esatto ritorno monetario delle singole operazioni.

Il deficit di risultati nel panorama degli investimenti

Tale visione strategica rischia tuttavia di scontrarsi con le attuali dinamiche del mercato tecnologico. Degnan rileva un surplus di offerta tecnologica a cui corrisponde un deficit in termini di risultati concreti. Nel settore delle startup in fase seed, i fondatori strutturano spesso l’azienda con l’obiettivo primario di ottenere il round di finanziamento successivo. Cercano l’approvazione di uno o due clienti di alto profilo da utilizzare come referenza strategica. Questo approccio sostituisce una crescita sostenibile e di lungo periodo nel mercato delle piccole e medie imprese.

Ellis conferma questa tendenza, spiegando che l’acquisizione di un ingente capitale iniziale vincola le neo-imprese a inseguire esclusivamente le società della classifica Fortune 500. Le startup sfruttano queste grandi realtà come leve reputazionali per i round finanziari seguenti. Si tratta di una dinamica legata alla sopravvivenza stessa della struttura, poiché il mancato raggiungimento del finanziamento decreta la fine dell’attività.

Questo fenomeno influenza l’evoluzione delle soluzioni disponibili sul mercato. Di conseguenza, la scelta del momento in cui inserire il primo professionista dedicato alla protezione informatica diventa un passaggio cruciale. Oggi questo inserimento avviene precocemente anche in realtà composte da sole venti persone, per orientare la strategia difensiva verso obiettivi solidi e misurabili.