Che cos'è la fiducia zero per il cloud?

Zero Trust è un modello di sicurezza informatica che elimina la nozione di fiducia per proteggere reti, applicazioni e dati. Questo è in netto contrasto con il tradizionale modello di sicurezza perimetrale, che presuppone che i cattivi attori si trovino sempre sul lato non fidato della rete e che gli utenti fidati si trovino sempre sul lato fidato. Con Zero Trust, questi presupposti vengono annullati e si presume che tutti gli utenti non siano affidabili.

Secondo Forrester Research, una società leader di ricerca e consulenza, una soluzione Zero Trust deve:

• Si assicuri che sia consentito solo il traffico conosciuto e consentito o la comunicazione di applicazioni legittime, segmentando e attivando i criteri di livello 7.

• Sfrutta una strategia di accesso con privilegi minimi e applica rigorosamente il controllo degli accessi.

• Ispeziona e registra tutto il traffico. Altrimenti, può essere abbastanza semplice per un aggressore ottenere l'accesso alla rete di un'azienda.

Questi principi possono essere semplici da implementare in una rete aziendale, ma come si applicano al cloud? Può applicare gli stessi concetti al cloud guidando l'accesso attraverso un gateway di sicurezza per un accesso sicuro con privilegi minimi. Tuttavia, è diventato chiaro che l'implementazione di un gateway non è sufficiente per ottenere la Zero Trust nel cloud. La sua implementazione deve ispezionare tutto il traffico per tutte le applicazioni, altrimenti non è veramente in grado di fornire Zero Trust.

Perché le aziende hanno bisogno di fiducia zero in un ambiente cloud

L'implementazione di Zero Trust in una rete aziendale si basa sul controllo della rete da parte dell'organizzazione stessa. Stabilisce dove possono essere posizionati i confini e applica i controlli di accesso per proteggere le applicazioni sensibili, come quelle all'interno dei data center locali, da accessi non autorizzati e movimenti laterali.

Oggi è spesso più conveniente ospitare un'applicazione nel cloud anziché in un data center. Infatti, secondo IDG, azienda leader nei media tecnologici, oltre il 73% delle aziende ha applicazioni o infrastrutture nel cloud.1 Questi ambienti cloud, gestiti da fornitori di servizi cloud e fornitori SaaS , non fanno parte della rete di un'organizzazione, quindi non si applica lo stesso tipo di controlli di rete.

Di conseguenza, la maggior parte delle aziende:

• Ha applicazioni e dati distribuiti in più sedi. 

• Stanno perdendo la visione di..:
  

  • Chi accede alle loro applicazioni e ai loro dati, o anche quali dispositivi vengono utilizzati per accedervi (ad esempio, smartphone, tablet, laptop, ecc.), dal momento che la maggior parte dei loro asset si trova su infrastrutture di terzi.

  • Come vengono utilizzati e condivisi i dati.

Per affrontare questi problemi, le aziende spesso utilizzano una varietà di tecnologie di accesso, a seconda di dove si trovano i loro beni. La maggior parte delle aziende utilizza un mix di:

Questo mix di tecnologie crea un'architettura di sicurezza frammentata, in cui è difficile essere certi di quali politiche siano in atto per proteggere qualsiasi dato nel cloud. Gli ambienti cloud sono fondamentalmente diversi dalle reti tradizionali e cambiano continuamente, il che significa che l'approccio alla sicurezza di un'azienda deve essere sia completo che adattabile.

Ecco perché 9 professionisti della cybersicurezza su 10 sono attualmente preoccupati per la sicurezza del cloud. Secondo loro, le tre sfide principali sono: protezione dalla perdita e dalla fuga di dati (67%), minacce alla privacy dei dati (61%) e violazioni della riservatezza (53%). Inoltre, lottano con i problemi di controllo della sicurezza, come l'acquisizione di visibilità sulla sicurezza dell'infrastruttura (43%), la conformità (38%) e la definizione di politiche di sicurezza coerenti tra ambienti cloud e locali (35%).2

Quindi, per avere successo, le aziende devono realizzare un'architettura di sicurezza unica e unificata che:

• Offre agli utenti un accesso sicuro alle applicazioni e ai dati dell'azienda attraverso il cloud pubblico, le applicazioni SaaS e il cloud privato/centri dati.

• Controlla e limita chi ha accesso a queste risorse e come possono essere utilizzate.

• Ispeziona il traffico e applica le politiche di sicurezza in modo continuativo.

Quando le organizzazioni passano al cloud, è importante incorporare la Zero Trust nella progettazione della nuova infrastruttura cloud. Di seguito sono riportate alcune idee su come iniziare.

Come implementare la Fiducia Zero per il cloud con una metodologia in 5 fasi

Prima di iniziare, è importante definire gli obiettivi della sua azienda per l'implementazione di Zero Trust nel cloud, nonché i risultati aziendali desiderati.

• Passo 1: Identificare il tipo di applicazioni (ad esempio, pubbliche, private, SaaS, ecc.) e di dati (ad esempio, riservati, sensibili, non importanti) di cui dispone la sua azienda, dove si trovano e chi vi accede e li utilizza. Quindi, definisca la sua superficie di protezione: i dati, le applicazioni, gli asset e i servizi più critici per la sua azienda.

• Passo 2: Mappare i flussi delle transazioni (cioè come funzionano effettivamente le sue applicazioni).

• Passo 3: Progettare la nuova infrastruttura cloud e creare confini tra utenti e applicazioni.

• Passo 4: Sviluppi le politiche Zero Trust della sua azienda in base a chi deve avere accesso a cosa e applichi i controlli di accesso contestuali basati sui principi di minimo privilegio. Istruisca gli utenti sulle politiche di sicurezza della sua azienda e su ciò che ci si aspetta da loro quando accedono e utilizzano le applicazioni e i dati della sua azienda nel cloud.

• Passo 5: Monitorare e mantenere il suo ambiente Zero Trust. Ciò significa ispezionare e registrare continuamente tutto il traffico per identificare attività insolite e decidere come rendere le politiche più sicure. Con il monitoraggio attivo, la superficie di protezione può crescere, consentendo di apportare modifiche all'architettura per migliorare ulteriormente la sicurezza.

Suggerimenti per l'applicazione di Zero Trust in un ambiente cloud.

Per facilitare il mantenimento della fiducia zero nel cloud:

• Utilizzi le misure di sicurezza fornite dal cloud per implementare la Fiducia Zero nel cloud.

• Offrire agli utenti un'esperienza sicura, coerente e senza interruzioni, ovunque si trovino fisicamente, in che modo vogliano connettersi o quali applicazioni vogliano utilizzare. Altrimenti, se l'esperienza dell'utente è troppo complicata o richiede troppi cambiamenti ogni volta che lavora da una nuova posizione o utilizza un'applicazione diversa, non l'accetterà.

• Ridurre la superficie di attacco limitando l'accesso dell'utente in base al contesto.

Benefici

Alcuni dei vantaggi della distribuzione di Zero Trust per il cloud includono:

• Migliore visibilità su dati, asset e rischi.

• Sicurezza coerente e completa.

• Velocità e agilità per stare al passo con le tecnologie in evoluzione.

• Riduzione dei costi operativi e della complessità.

Altri articoli sulla fiducia zero:

• L'approccio Zero Trust al cloud?

• Estensione della fiducia zero al cloud