“Zero Trust” è un aggettivo in cerca di un nome è il titolo del nuovo e interessante articolo scritto da Steve Riley, Field CTO di Netskope.
Un contributo esclusivo di cui vi pubblichiamo la traduzione di seguito.
Le persone amano parlare di zero trust – soprattutto in questo ultimo periodo – per una serie di motivi. Prima di tutto, perché contiene la parola “zero” che ha una certa storicità nel mondo della sicurezza informatica (si pensi all’espressione “vulnerabilità zero-day”). Zero Trust è anche un connubio semplice e accattivante, quindi si adatta bene agli esercizi di marketing. Vendere lo “zero trust” come soluzione fa pensare che tutti i tuoi problemi svaniranno: il tuo mondo sarà estremamente più facile non appena non dovrai più preoccuparti della “fiducia”.
Ma è proprio per questo motivo che ho raggiunto un certo grado di fastidio nei confronti del termine zero trust. Perché quando “zero trust” è usato da solo, invece che come aggettivo per descrivere qualcos’altro, allora è essenzialmente una falsa promessa. Realisticamente, non puoi mai avere un ambiente a “fiducia zero”. Nel senso più letterale, raggiungere la zero trust comporterebbe avere zero interazioni, e nessuno lo vuole davvero. La posizione di partenza in un network a fiducia zero è che nessuna entità connessa alla rete o presente al suo interno può essere degna di fiducia, dovunque si trovi e in qualunque modo sia connessa. Ma qualsiasi organizzazione in rete deve avere un po’ di fiducia per funzionare.
Quindi ciò che la maggior parte delle persone intende oggi quando parla di “zero trust” è in realtà la rimozione della fiducia implicita, perché è proprio questa che in genere viene sfruttata. Il classico esempio è una VPN. Immaginiamo che io sia un dipendente remoto. Mi collego a una VPN, mi viene assegnato un indirizzo IP su quell’altra rete e posso quindi andare ovunque quella rete mi permetta di andare. Siamo in presenza di molta fiducia implicita e gli attaccanti amano abusare di questo tipo di libertà.
Quindi, dobbiamo iniziare a riflettere su nuovi modi per ridurre i rischi attualmente esistenti a causa di troppa fiducia implicita, senza però arrivare a una reazione istintiva nella direzione opposta, ossia a “non fidarsi di nessuno”.
Il contesto è il nuovo perimetro: serve “fiducia continua e adattiva”
Quando pensiamo alle reti zero trust, se togliamo tutta la fiducia implicita che deriva dall’avere un indirizzo IP e applichiamo invece principi di fiducia continua e adattiva, allora possiamo iniziare a garantire l’accesso solo a ciò di cui si ha necessità, solo quando se ne ha effettiva necessità, e nient’altro.
Per operare abbiamo bisogno che gli utenti interagiscano con risorse e dati. Ma quell’interazione non deve essere nella logica “o tutto o niente”. La sicurezza moderna dovrebbe essere in grado di darci la possibilità di valutare continuamente quanta fiducia un utente dovrebbe ottenere per ogni interazione, in base a una varietà di elementi di contesto. Non solo chi è l’utente, ma anche variabili come la qualità del suo dispositivo, dove si trova nel mondo in quel momento e il livello di sensibilità dei dati richiesti.
Da un po’ di tempo va di moda dire che “L’identità è il nuovo perimetro”. Qualsiasi progetto che miri a ridurre la fiducia implicita inizia con una solida base di gestione dell’identità e degli accessi (IAM). Ma in realtà, l’identità è solo uno di una serie di elementi contestuali necessari per valutare e garantire la fiducia in modo efficace.
L’identità è pervasiva. Possiamo facilmente sapere chi è l’utente umano. Sappiamo quasi sempre qual è il dispositivo, se possiede una propria identità che possiamo verificare. Possiamo sempre sapere quali applicazioni e servizi sono coinvolti perché possiedono anch’essi un’identità. Ma non mi basta autenticarmi su un’app. Anche l’app deve autenticarsi a me, così so che non sto interagendo con qualcosa che tenta di spiare i miei segreti aziendali. (Questa è l’idea alla base dell’identificazione e dell’autenticazione reciproca.)
Quindi, è vero che il contesto è il nuovo perimetro. Se possiamo esaminare tutte le informazioni contestuali che circondano un’interazione, allora possiamo prendere una decisione intelligente su quanta fiducia estendere in circostanze specifiche e confermate. Allo stesso tempo, dobbiamo essere in grado di valutare continuamente tali condizioni. Se qualcosa all’interno del contesto dovesse cambiare, potrebbe essere necessario modificare anche il livello di fiducia dell’interazione.
Ad esempio, se un amministratore sta eseguendo una funzione amministrativa all’interno di una serie di circostanze consuete (ad esempio, ora, posizione, dispositivo), gli è consentito svolgere una funzione di amministrazione non così comune. Ma non gli diamo implicitamente i diritti di amministratore per tutto il tempo: eleviamo i privilegi solo quando vengono svolte funzioni di amministratore in contesti a basso rischio.
Un altro esempio potrebbe essere un dipendente che viaggia in un’area del mondo che può essere rischiosa per determinati tipi di dati. Se l’interazione dell’utente inizia con dati relativamente innocui, va bene. Ma se poi si sposta per interagire con dati che sono proprietà intellettuale riservata, in base alla posizione fisica ridurremo l’accesso alla sola lettura in un browser o forse non daremo alcun accesso.
Verso una nuova era di sicurezza incentrata sulle persone
I vecchi modi di pensare al perimetro non sono più utili. In un mondo moderno e iperconnesso non esiste più un singolo data center, ma molti centri di dati. Dobbiamo implementare meccanismi in grado di assegnare automaticamente la fiducia sufficiente per la situazione specifica. La policy dovrebbe seguire i dati ovunque vadano e dovrebbe mirare a offrire il massimo accesso possibile nel contesto dei requisiti aziendali. Come conseguenza di tutto ciò, anche il team di sicurezza necessita di un restyling moderno, dal “Dipartimento del No” al “Dipartimento del Sì”.
Sebbene la semplicità dello zero trust assoluto sia allettante, il concetto deve essere applicato a qualcosa di un po’ più complesso e, in definitiva, più utile per ridurre il rischio nel mondo reale. Se implementato correttamente, un modello di fiducia adattiva continua offre un approccio alla sicurezza realmente incentrato sulle persone, offrendo alle persone giuste il corretto livello di accesso alle informazioni ricercate al momento opportuno.
