L’approccio Zero Trust è una delle tre tendenze più interessanti identificate nello State of Application Strategy 2022 report di F5 e negli ultimi dodici mesi ha sicuramente riscosso un significativo interesse su Google Trends.
Il risultato è che lo Zero Trust è uno degli approcci alla sicurezza più discussi – e travisati – da quando è entrato in scena lo “shift left”. Troppo spesso lo Zero Trust viene equiparato a una tecnologia specifica, come il software-defined perimeter (SDP), o a un segmento di mercato, come l’identity and access management (IDAM).
Abbiamo assistito alla stessa corsa all’equiparazione a tecnologie o prodotti specifici quando è stato introdotto il cloud computing. Il “cloud washing” era un fenomeno che si verificava regolarmente e spesso veniva usato come osservazione dispregiativa sull’effettiva “cloudiness” di qualche nuovo prodotto.
La sicurezza Zero Trust è, in sostanza, una impostazione mentale dalla quale emergono tecniche e tattiche che sfruttano tecnologie specifiche, che possono essere applicate per affrontare un ampio spettro di minacce alla sicurezza.
Questa mentalità si basa su una serie di presupposti: la scelta e l’uso di specifiche tecnologie sono conseguenze di tali presupposti.
L’implementazione di una tecnologia come l’SDP o la sicurezza delle API non significa che abbiate adottato lo Zero Trust. Non esiste un singolo prodotto che, una volta adottato, consenta di affermare di essere “conformi allo Zero Trust” e quindi immuni da attacchi, violazioni o exploit.
È vero che la sicurezza di SDP e delle API può essere una risposta tattica adeguata all’adozione di un approccio Zero Trust. Ma per arrivarci è necessario partire da alcuni presupposti fondamentali e poi, in base ad un processo logico, decidere quali sono gli strumenti e le tecnologie migliori da adottare per raggiungere l’obiettivo.
Vediamo alcuni esempi che, come suggerisce il titolo, ci portano a concludere che la protezione dai bot e la sicurezza del web e delle API fanno parte della “cassetta degli attrezzi” di un approccio Zero Trust.
Ora, questo approccio porta anche ad altri strumenti e tecnologie, come l’SDP e il controllo dell’identità e dell’accesso, i firewall di rete e i Cloud Access Security Broker (CASB), e una serie di altre soluzioni che mitigano i rischi noti che derivano naturalmente da questi presupposti. Ma non si può implementare solo uno di questi strumenti e considerare conclusa l’attività Zero Trust. È come prendere un analgesico per curare una gamba rotta invece di andare dal medico. Certo, riduce il dolore, ma non fa nulla per affrontare il resto del problema.
L’adozione dello Zero Trust come cambiamento di mentalità che porta alla mitigazione non è perfetta – nessun metodo lo è – ma vi porterà più avanti sulla strada dell’adattabilità e della capacità di affrontare attacchi nuovi ed emergenti più velocemente e con maggiore successo.
A cura di Lori MacVittie, Distinguished Engineer di F5
Nel panorama odierno della sicurezza informatica, la protezione degli endpoint rappresenta un obiettivo imprescindibile per…
I numeri dell’evento Oltre 1000 ospiti, 42 relatori, 20 interventi tematici e 5 Tavole Rotonde:…
Group-IB è un fornitore, con sede a Singapore, di sistemi ad elevata attendibilità per il…
Le interazioni di natura digitale, su rete pubblica o all’interno di reti private, hanno assunto…
La Commissione Europea ha di recente ricordato come “Artificial intelligence (AI) is not science fiction;…
Di seguito il programma della Cyber Crime Conference 2024, che avrà luogo a Roma nei…