Per combattere i nuovi rischi associati all'attuale modalità di lavoro ibrida, molti dirigenti e fornitori di sicurezza informatica hanno ora scoperto "Zero Trust": questo framework mira a rafforzare la sicurezza nell'ambiente IT aumentando allo stesso tempo la produttività dell'intera azienda aumento.
Il modo in cui le persone lavorano è cambiato radicalmente nell'ultimo decennio. I dipendenti aziendali oggi lavorano da qualsiasi luogo, utilizzando dispositivi e reti non più direttamente sotto il loro controllo, per accedere alle risorse aziendali nel cloud. Sebbene ciò abbia notevolmente aumentato la produttività, ha anche reso molto più difficile proteggere le aziende. Mettere in pratica ciò non è privo di problemi, tuttavia, poiché non esiste un'unica definizione di zero trust.
Approccio alla sicurezza attuale
Si sente da alcuni ambienti che l'autenticazione a più fattori (MFA) dovrebbe essere sufficiente, mentre altre soluzioni fanno un ulteriore passo avanti e richiedono "l'accesso con privilegi minimi".
In generale, zero trust è l'idea che qualsiasi oggetto, interno o esterno, debba essere periodicamente autenticato e valutato prima di ottenere l'accesso. Quando la maggior parte degli utenti, dei dispositivi, delle applicazioni e dei dati non si trova più all'interno di un determinato perimetro di sicurezza, non si può più presumere fermamente che un utente o il suo dispositivo debbano essere considerati attendibili.
Tra le complessità che derivano dall'adozione di tecnologie come il cloud e dal lavoro da qualsiasi luogo, è complicato per le autorità di sicurezza capire da dove cominciare, e questo include Zero Trust. Ma dovresti prima pensare a ciò che è importante per la tua azienda. L'utilizzo di una soluzione di rilevamento e risposta degli endpoint protegge i tuoi dati dai rischi degli endpoint. Lo stesso vale per la sicurezza del cloud: proteggi i tuoi dati nel cloud da accessi e attacchi rischiosi o dannosi. In altre parole, per utilizzare Zero Trust in modo efficiente, dovresti concentrarti su tutti i vettori in cui sono incorporati i tuoi dati.
dati come punto di partenza
Quando la maggior parte delle organizzazioni adotta Zero Trust per la prima volta, cerca di concentrarsi sul modo in cui i dipendenti svolgono il proprio lavoro, ad esempio richiedendo ai dipendenti di utilizzare reti private virtuali (VPN) con un secondo fattore di autenticazione, quando accedono alle risorse aziendali. Al contrario, tuttavia, credo che l'attenzione non dovrebbe essere posta su ciò che si dovrebbe (non) fare, ma sui dati.
I dipendenti creano e modificano costantemente i dati. Poiché l'obiettivo finale di un utente malintenzionato all'IT aziendale è rubare dati, la semplice autenticazione di un utente al momento dell'accesso non è più sufficiente. Invece, devi concentrarti su quali tipi di dati possiedi, su come vi si accede e su come vengono manipolati. È inoltre importante tenere presente i livelli di rischio in continua evoluzione degli utenti e dei dispositivi che utilizzano.
Imposta le priorità
I dati sono ovunque. I dipendenti creano dati ogni giorno, scambiandoli tramite e-mail, copiando e incollando contenuti in un'applicazione di messaggistica, creando un nuovo documento o scaricandolo sul proprio smartphone. Tutte queste attività creano e manipolano dati e ciascuna ha il proprio ciclo di vita. Sarebbe estremamente noioso tenere traccia delle posizioni di tutti questi dati e di come vengono gestiti.
Il primo passo nell'implementazione di Zero Trust Security è classificare i dati in base ai livelli di sensibilità in modo da poter dare la priorità ai dati che necessitano di una protezione aggiuntiva. Zero Trust può essere un processo senza fine perché puoi applicarlo a qualsiasi cosa. Invece di provare a creare una strategia zero trust a livello aziendale per tutti i dati, concentrati sulle applicazioni più importanti che contengono i dati più sensibili.
l'accesso ai dati
La prossima cosa da guardare è come i dati vengono condivisi all'interno dell'organizzazione e come vi si accede. I dipendenti condividono i dati principalmente tramite il cloud? Oppure i documenti e le informazioni vengono inviati tramite e-mail o Slack?
Comprendere come le informazioni si spostano all'interno dell'organizzazione è fondamentale. Se prima non capisci come si spostano i dati, non puoi proteggerli in modo efficace. Ad esempio, se una cartella comune nel cloud dell'azienda contiene diverse sottocartelle, alcune delle quali protette, questo sembra un metodo sicuro. E questo fino a quando qualcuno condivide la cartella principale con un altro gruppo di lavoro e non si rende conto che così facendo si modificano le impostazioni di accesso per le sottocartelle private. Di conseguenza, i tuoi dati privati sono ora accessibili a molte persone che non dovrebbero avervi accesso.
Nessuna soluzione pronta all'uso
Probabilmente tutti hanno sentito la frase: "C'è un'app per questo!". E in generale è vero. Al giorno d'oggi sembra esserci un'app o una soluzione software per ogni problema moderno. D'altra parte, puoi vedere che questo non è il caso di Zero Trust. Tuttavia, ci sono molti fornitori che vogliono vendere i loro prodotti come le cosiddette "soluzioni" per implementare Zero Trust Data Security. Ma questo metodo finto non funziona.
In sostanza, Zero Trust è una mentalità e una filosofia, ma non va confusa con un problema risolvibile via software. Se intendi adottare Zero Trust come metodo per la sicurezza nella tua organizzazione, devi capire come funziona questo approccio e come implementarlo in modo affidabile all'interno della tua organizzazione.
Il ruolo dei dipendenti
La seconda parte dell'implementazione dei dati zero trust consiste nel coinvolgere i dipendenti. Puoi acquistare software e soluzioni esistenti e stabilire regole, ma se i tuoi dipendenti non capiscono cosa stai facendo o perché dovresti usare qualcosa, stai mettendo a repentaglio i tuoi progressi e il tuo successo e probabilmente esponi i tuoi dati a determinati rischi.
Alla conferenza RSA 2022, un mio collega ha condotto un sondaggio e ha scoperto che l'80% dei partecipanti utilizza ancora un foglio di calcolo tradizionale per registrare e calcolare i propri dati. E secondo un sondaggio del 2021, solo il 22% degli utenti di Microsoft Azure utilizza l'AMF. Questi numeri suggeriscono che dovresti iniziare con i tuoi dipendenti fin dall'inizio. E dovresti spiegare loro l'importanza della sicurezza dei dati e come metterla in pratica sui tuoi dispositivi.
Zero Trust non è un prodotto
Una delle cose più importanti da ricordare quando si implementa Zero Trust Security nella propria organizzazione è che si tratta di una filosofia, non di una semplice soluzione. Zero Trust non è qualcosa che puoi installare casualmente dall'oggi al domani. E non è un software già pronto che puoi acquistare da qualche parte per risolvere tutti i problemi in una volta. La fiducia zero è più un'idea fondamentale che deve essere implementata a lungo termine.
Prima di investire in una soluzione valida per tutti che semplicemente non funziona, è importante conoscere meglio i dati esistenti e capire quali dati particolarmente sensibili devono essere prioritari e protetti. Si tratta anche di come dovrebbero essere gestiti in dettaglio per poi concentrarsi sulla formazione e sul perfezionamento dei suoi dipendenti. "Zero Trust" sembra un'ottima idea, ma la sua implementazione funziona solo se si comprende che si tratta di una sorta di filosofia o framework che deve essere impostato in più fasi e continuamente migliorato, e non solo una soluzione fissa una tantum.
Altro su Lookout.com
A proposito di Lookout I co-fondatori di Lookout John Hering, Kevin Mahaffey e James Burgess si sono riuniti nel 2007 con l'obiettivo di proteggere le persone dai rischi per la sicurezza e la privacy posti da un mondo sempre più connesso. Ancor prima che gli smartphone fossero nelle tasche di tutti, si sono resi conto che la mobilità avrebbe avuto un profondo impatto sul modo in cui lavoriamo e viviamo.
Articoli relativi all'argomento