Tre domande e risposte: come implementare Zero Trust con un approccio minimo
L'articolo discute il concetto di sicurezza Zero Trust e le sfide associate alla sua implementazione in ambienti IT aziendali. Sottolinea che Zero Trust è spesso frainteso come una revisione completa che richiede cambiamenti in infrastrutture di rete, identità, dispositivi, applicazioni e processi, che possono portare a progetti tentacolari. L'autore sostiene che questo approccio spesso trascura i rischi critici come account privilegiati, controlli di accesso scarsi e account di servizio non protetti. Di conseguenza, molte organizzazioni lottano con obiettivi poco chiari e mancanza di risultati misurabili. Per affrontare questi problemi, l'articolo introduce l'approccio Minimum Viable Zero Trust (MVZT), che si concentra sull'attuazione di misure entro 90 giorni dando priorità a aree ad alto rischio come accesso privilegiato, amministrazione cloud e sistemi di sicurezza centrali. Questo metodo tratta Zero Trust come un meccanismo di controllo piuttosto che un sistema completo, enfatizzando le decisioni di riprogettazione basate su protezione dell'identità, autenticazione, stato di rischio, dispositivi, segnali e necessità di risorse.
Secondo Marcel Küppers, esperto di sicurezza informatica con oltre due decenni di esperienza, questa strategia evita le insidie delle tradizionali implementazioni di Zero Trust che spesso si espandono oltre il controllo e diventano progetti tentacolari e ingestibili.
Küppers spiega che molte aziende tentano di applicare Zero Trust come un'architettura completa, con l'obiettivo di trasformare simultaneamente reti, identità, endpoint, applicazioni, servizi cloud e processi operativi. Questa ampia portata porta spesso a ritardi e inefficienze, specialmente nelle grandi aziende in cui i sistemi legacy, i fornitori di identità multiple e i complessi percorsi amministrativi complicano l'implementazione. Inoltre, alcune organizzazioni vedono erroneamente Zero Trust come un prodotto, come una nuova soluzione di rete o un aggiornamento del firewall, piuttosto che un cambiamento concettuale nel modo in cui viene gestito l'accesso. Il problema principale risiede nella mancanza di chiarezza riguardo ai risultati misurabili.
Senza metriche definite per la riduzione dei rischi e benchmark chiari, le iniziative Zero Trust spesso perdono la direzione. MVZT affronta queste sfide concentrandosi su aree ad alto rischio come account privilegiati, amministrazione cloud, pipeline di integrazione continua / distribuzione continua (CI / CD), gestione dei segreti, backup e strumenti di sicurezza centrali. Questi elementi rappresentano i principali vettori di attacco in cui l'accesso non autorizzato potrebbe causare il maggior danno. Invece di ridisegnare ogni applicazione o processo, MVZT tratta Zero Trust come un meccanismo di controllo.
Le decisioni di accesso si basano su fattori quali l'identità dell'utente, la forza dell'autenticazione, lo stato del dispositivo, i segnali di rischio e la sensibilità della risorsa di destinazione. Ad esempio, le politiche potrebbero richiedere un'autenticazione più forte per le azioni sensibili, limitare le durate delle sessioni o bloccare completamente l'accesso in determinate condizioni. Questo approccio assicura che il sistema rimanga funzionale migliorando significativamente la postura di sicurezza. Uno dei vantaggi chiave di MVZT è la sua enfasi sui risultati dimostrabili. Fin dall'inizio, l'iniziativa include funzionalità come registri di audit, monitoraggio in tempo reale, attivazione dell'accesso in tempo reale e funzionalità di revoca.
Questi elementi forniscono visibilità immediata su quanto bene il sistema sta funzionando e consentono aggiustamenti rapidi. Entro la fine del periodo di 90 giorni, le organizzazioni dovrebbero avere una chiara comprensione di quali rischi sono stati mitigati e quanto rapidamente possono rispondere a potenziali violazioni. Il piano di 90 giorni inizia con la definizione dell'ambito, l'identificazione di risorse critiche e percorsi amministrativi e l'istituzione di controlli di sicurezza di base. Durante le prime due settimane, i team inventariano ruoli e identità privilegiati, definiscono i sistemi Tier-0 e Tier-1 e individuano i percorsi essenziali dell'amministratore. Quindi implementano l'autenticazione resistente al phishing e applicano rigorosi standard di conformità dei dispositivi.
Allo stesso tempo, viene stabilito un registro centralizzato dei tentativi di autenticazione e delle attività amministrative per garantire trasparenza e tracciabilità. Questo approccio strutturato ma flessibile consente alle organizzazioni di costruire una solida base per Zero Trust senza sovraccaricare le risorse interne. Fornisce anche un punto di partenza tangibile per ulteriori espansioni, consentendo alle aziende di perfezionare le loro strategie basate su dati reali e minacce in evoluzione.
★
Manteniamo le notizie oneste.
ObjectiveNews è finanziato dai lettori e senza pubblicità: ti mostriamo il bias invece di nasconderlo. Sostieni il giornalismo indipendente per 4 €/mese.
Diventa sostenitore
Germany
