La regola del “verificare sempre, non fidarsi mai” su cui si basa la sicurezza zero trust è tornata prepotentemente di attualità in epoca smart working: la pandemia ha infatti profondamente modificato l’ambiente di lavoro e di conseguenza stanno cambiando anche i paradigmi della cyber security.
L’everywhere workplace ha infatti letteralmente distrutto i tradizionali perimetri di difesa rovesciando il concetto di network aziendale, che non è più statico e “chiuso” all’interno delle mura aziendali, ma ovunque.
In epoca smart working, i dipendenti possono accedere ad applicazioni e dati aziendali utilizzando diversi dispositivi, ovunque si trovino. A fronte di un incremento della produttività, però, l’aumento degli endpoint connessi al network aziendale ha contribuito ad ampliare notevolmente la superficie di attacco aziendale.
A questo si aggiunge anche la scarsa consapevolezza dei pericoli e delle minacce cyber da parte dei dipendenti stessi.
Di conseguenza, l’approccio tradizionale alla sicurezza ICT focalizzato sull’impedire a eventuali attaccanti e minacce di entrare nel perimetro aziendale, presupponendo che tutti gli utenti che si trovano all’interno siano affidabili, è di fatto superato.
Ora che la maggior parte delle organizzazioni lavora nel cloud e il cyber crimine organizzato riesce ad aggirare facilmente i classici antivirus, ora che le cyber minacce come i ransomware diventano sempre più sofisticate e invisibili, è evidente che un approccio centralizzato basato sulla fiducia è ormai divenuto obsoleto.
Indice degli argomenti
Sicurezza zero trust in epoca smart working: perché è importante
La sicurezza zero-trust in epoca smart working rappresenta, dunque, un approccio innovativo e di grande efficacia per la governance e la sicurezza informatica aziendale.
Il modello di sicurezza di rete zero trust è infatti basato sulla consapevolezza che neanche all’interno della propria rete aziendale si può stare tranquilli e prevede un rigido processo di verifica delle identità: solo gli utenti e i dispositivi autenticati e autorizzati, che si trovino all’interno o all’esterno della rete, possono accedere alle applicazioni e ai dati aziendali, garantendo al contempo una valida protezione dalle minacce provenienti dall’esterno e da Internet.
Inoltre, nessun utente e nessun dispositivo può avere un accesso illimitato alle risorse aziendali e anche dopo essersi autenticato, i suoi privilegi di accesso verranno continuamente verificati.
Di fatto, quindi, un’architettura zero trust correttamente implementata sposta l’onere della protezione dei dati all’interno dell’organizzazione verso ciascun utente, dispositivo e applicazione che tenti l’accesso al network aziendale.
Lo scenario di (in)sicurezza
È importante considerare, poi, che il concetto di sicurezza zero trust in epoca smart working si inserisce in uno scenario in cui gli attacchi e gli incidenti informatici sono in crescita, così come confermato anche dall’ultimo Rapporto Clusit 2021.
Attacchi e incidenti informatici che possono essere causati sia da eventi intenzionali sia da errori commessi dai dipendenti stessi che sono spesso causa di attività malevole, quando non addirittura dalla concomitanza di questi due fenomeni.
E questo è un problema comune che interessa una platea sempre più eterogenea di possibili vittime. Lo dimostra il fatto che i settori produttivi e merceologici toccati dagli attacchi informatici sono praticamente tutti: dai servizi online, alla ricerca e all’educazione, passando per quello sanitario, della salute, dell’intrattenimento, delle telecomunicazioni e del banking, giusto per fare qualche esempio.
Di fatto, quindi, gli attaccanti non hanno più un settore preferenziale da colpire per monetizzare le loro azioni malevoli. Di conseguenza, nessuno può dirsi escluso da queste tematiche: il problema della sicurezza è un problema che abbiamo tutti quanti ed è, se vogliamo, anche un problema di ecosistema.
E lo diventa soprattutto in quanto la matrice dell’attacco, quindi la fonte, è prevalentemente di tipo criminale, mentre sono più marginali (sebbene sempre significativi) gli eventi mirati di cyber spionaggio e cyber sabotaggio, di hacktivism e di information warfare.
Comprendere la tipologia e la distribuzione delle tecniche di attacco è inoltre utile per comprendere quelle che sono le azioni da intraprendere per mettere in sicurezza l’azienda e che sono più urgenti di altre. I sempre più diffusi attacchi di tipo phishing e social engineering, ad esempio, ci suggeriscono l’importanza di lavorare sul fattore umano e dunque sulla corretta formazione degli utenti aziendali.
Un numero su tutti consente di tornare sul concetto principale della sicurezza zero trust che è quello della fiducia: il 52% degli incidenti informatici (quindi non parliamo necessariamente di un cyber attacco) è dovuto ad un errore umano.
Fiducia che può essere costruita lavorando in parte sulla componente tecnologica e in parte sulla consapevolezza che deve essere sempre più raggiunta attraverso strumenti che non passano necessariamente dalla tecnologia.
Sicurezza zero trust: approccio e strumenti
In questo senso, è interessante studiare l’approccio adottato da Vodafone Business che da più di un anno ormai, attraverso il suo Vodafone Lab, ha deciso di affiancare i clienti mediante uno strumento utilizzato innanzitutto per fare awareness e quindi per portare i tanti temi tecnologici e in particolare quello della security il più vicino possibile a loro.
Da un punto di vista più tecnologico, invece, quando si parla di sicurezza uno degli strumenti utilizzabili per l’implementazione di un corretto approccio zero trust è il framework NIST (National Institute of Standards and Technology, l’agenzia governativa americana che si occupa della gestione delle tecnologie) che può essere facilmente adattato a tutte le tipologie di realtà aziendali, pubbliche e private di qualunque dimensione perché di fatto è una collezione di standard, linee guida e best practice utili a gestire i rischi legati alle minacce cyber.
Inoltre, facilita la protezione e la resilienza di infrastrutture critiche e di altri settori importanti per l’economia e la sicurezza nazionali.
Il framework NIST si divide in cinque fasi che coprono il ciclo di vita di gestione della cyber security e che indicano gli strumenti più idonei per proteggere al meglio la nostra organizzazione. Ogni fase prevede, in particolare, categorie e sottocategorie di attività specifiche:
- Identify: consente di comprendere le minacce, i vettori d’attacco e i sistemi critici più esposti.
- Protect: consente di implementare le contromisure più efficaci.
- Detect: questa fase consente di individuare tempestivamente e chiaramente gli indizi di un attacco.
- Respond: comprende le attività per rispondere tempestivamente alle situazioni di emergenza, per garantire continuità di business.
- Recover: in questa fase sono indicate le attività utili a ripristinare in tempi certi la normale operatività.
Alla luce di quanto detto prima, però, occorre sottolineare che anche il framework del NIST, se ci limitiamo solo all’utilizzo di strumenti tecnologici (e quindi alle prima quattro fasi appena analizzate), potrebbe avere dei limiti in quanto le minacce provengono ormai da ogni parte:
- dall’interno della rete (insider, APT ecc.);
- essere trasportate da un messaggio apparentemente legittimo (phishing, smishing ecc.);
- presentarsi con le credenziali legittime di un utente (furto d’identità, impersonificazione ecc.);
- colpire con la complicità di un utente sbadato (uso inconsapevole degli strumenti);
- approfittare di situazioni particolari in cui le priorità di business prevalgono sulla sicurezza (Covid-19).
Cosa imparare dall’approccio zero trust alla sicurezza ICT
È chiaro, dunque, che quando parliamo di sicurezza informatica e delle minacce cyber non abbiamo a che fare con qualcosa che conosciamo: quantomeno non sempre e siamo fortunati quando ciò accade.
Occorre comprendere, invece, che dobbiamo misurarci con un evento che è caratterizzato da una estrema rarità e da un impatto potenzialmente devastante.
Ecco perché l’approccio zero trust associato alle prime quattro fasi di un framework strutturato di cyber security com’è quello del NIST ci permette di capire che:
- nessun canale di accesso alla rete è più affidabile di altri;
- non ci sono sistemi o utenti più affidabili di altri;
- nessun evento è irrilevante;
- non esistono incidenti di sicurezza privi di impatti.
Conclusione
L’adozione di un approccio zero trust, quindi, non è unicamente una questione di tecnologia, ma bisogna innanzitutto comprendere che, soprattutto in epoca smart working, nulla può essere permesso se non è esplicitamente permesso.
È dunque importante adottare un approccio sinergico partendo dal definire le priorità di intervento in modo strutturale e organico, evitando di affrontare e risolvere il singolo problema quando accade e progettando la sicurezza aziendale per strati concentrici che consentono, qualora lo strato più esterno dovesse “cedere” per un qualsiasi motivo, di garantire comunque un elevato livello di protezione grazie agli altri strati interni che necessariamente andranno a compensare le eventuali lacune.
Tenendo sempre presente che, ovviamente, non ha senso progettare un sistema simile se poi ci si “dimentica” di monitorare e verificare costantemente nel tempo l’andamento della cyber security.
Contributo editoriale sviluppato in collaborazione con Vodafone.
