Sicuramente avrete già sentito parlare del termine "Zero Trust" in relazione alla sicurezza informatica. Ma sapete cosa significa e sareste in grado di spiegarlo ad altre persone? È possibile darne la seguente descrizione: Zero Trust è un approccio strategico alla sicurezza informatica in cui la sicurezza di un’organizzazione si persegue eliminando ogni assunzione implicita di fiducia e convalidando costantemente ogni fase di un'interazione digitale. Questa descrizione chiarisce pienamente cosa intendiamo per Zero Trust? Probabilmente no. Ecco perché è utile fare un esempio di Zero Trust proveniente dal mondo reale, fisico. Perché, se vi è mai capitato di essere in un aeroporto e di volare, lo avete già visto e sperimentato, probabilmente senza rendervene conto.

Prendiamo ad esempio un viaggio dall'aeroporto di Malpensa vicino a Milano. Quando si arriva in treno, in autobus o in auto, si arriva al terminal. Un luogo dove tutti sono i benvenuti e dove non è necessario mostrare i documenti d'identità per entrare. Una città in sé, con una vasta gamma di negozi, ristoranti, servizi e persino una linea ferroviaria. Se volessimo tradurre questa situazione in realtà digitale, potremmo associarla a una pagina Web pubblica. Accessibile a tutti.

Ovviamente, siete all’aeroporto di Malpensa per un motivo! Volete viaggiare in aereo verso un altro Paese. Avete acquistato un biglietto, che corrisponde alla richiesta di diritti su determinati ambienti software. Dalla sala d’ingresso del terminal si passa alla sala partenze. Qui è possibile effettuare il check-in e lasciare i bagagli. Per farlo è necessario un biglietto con il proprio nome e la data, insieme a un documento d'identità. Si ottiene l'autorizzazione a utilizzare l'area riservata. Dal momento dell'acquisto del biglietto fino alla partenza dell'aereo, viene effettuata una convalida continua per verificare che le persone giuste siano nella destinazione giusta, dove non rappresentano un rischio. Questo è ciò che avviene anche con il controllo dell'identità e del rischio per l'accesso alle applicazioni e ai dati, in base al principio Zero Trust.

Il personale che si sposta all’interno dell’area partenze, sia che si tratti di dipendenti autonomi, lavoratori assunti o personale della compagnia aerea, deve essere dotato di un badge. Facendo ancora una volta un parallelo con il mondo digitale, questo può essere paragonato a una rete aziendale utilizzata da amministratori, partner ed esterni. Il badge facilita l'accesso alle aree in cui i normali visitatori e/o utenti non sono ammessi. È simile all'accesso a un server o all'inserimento di un nome utente e di una password in un'applicazione o in una pagina Web. E naturalmente con un'autenticazione forte per gli utenti privilegiati.

È ora di salutare gli accompagnatori e di passare i controlli di sicurezza! Il biglietto deve essere scansionato e, se non è valido, non si passa. Se tutti i dati sono corretti e non ci sono oggetti anomali nel bagaglio a mano, si può passare alla zona duty-free da cui si accede alle aree di imbarco. Ora avete accesso illimitato a ristoranti, negozi, aree di attesa e servizi igienici. Per tutti gli acquisti è necessaria la scansione della carta d'imbarco. Avete privilegi extra, ma questi vengono controllati continuamente quando li utilizzate. In caso di dubbio, vi verrà chiesto anche un documento d'identità, una sorta di autenticazione a tappe. Per poter accedere al gate e quindi all'aereo, dovete essere in grado di dimostrare che siete autorizzati a farlo. Il biglietto viene scansionato, l’identità verificata e poi si può entrare nell'aereo e prendere posto sul sedile prenotato. Se si paragona il gate a un sistema di buste paga, di vendita o di contabilità, solo i dipendenti che hanno dimostrato di aver bisogno di accedere per svolgere il proprio lavoro sono autorizzati a utilizzare questi sistemi e l'accesso può essere limitato alla sola lettura o a specifiche parti di dati.

In qualità di passeggeri, ovviamente, non è consentito l'accesso alle piste di decollo e di atterraggio, alle aree di parcheggio degli aeromobili o alle aree di carico o di manutenzione. Anche la cabina di pilotaggio è vietata al personale non autorizzato. Molte di queste "aree sicure" richiedono l'autenticazione a più fattori (MFA), ossia la dimostrazione della propria identità in almeno due modi: per esempio tenendo un badge davanti a un lettore e digitando un PIN oppure mostrando un dito, il palmo della mano o l'iride a un lettore biometrico. Come nel mondo digitale, l'accesso è monitorato e registrato. Ogni volta che qualcuno è o non è autorizzato a spostarsi da un'area all'altra, l'accesso viene tracciato attraverso il sistema di identificazione presentato. In caso di problemi, i filmati delle migliaia di telecamere presenti in un aeroporto tipico possono essere visualizzati in modo mirato, con il corrispondente “timestamp”. In effetti, molti aeroporti utilizzano OpenText ArcSight come sistema di Security Information and Event Management (SIEM) per acquisire, comprendere e rispondere alle minacce. In questo modo, in background, viene monitorato costantemente il livello di minaccia, in modo da ridurre i rischi di attacco.

Come negli aeroporti, la Cyber Security può diventare un caos a causa della carenza di personale o dell'impiego di molti soggetti diversi. Per evitare che ciò accada, OpenText Cybersecurity offre anche Zero Trust attraverso il Cloud e si assicura che le diverse soluzioni lavorino insieme senza problemi.

Se qualcuno chiede cosa sia Zero Trust, pensate all'aeroporto e spiegatelo con l'esempio precedente. Zero Trust consiste nell'accesso solo per le persone che ne hanno diritto. Si tratta di registrare: dove ci si trova, se si è chi si dice di essere (Identità) e se si è autorizzati a fare determinate cose (Privilegi) e se i propri diritti non sono scaduti. Se vi trovate in un luogo in cui non dovreste essere (Accesso), questo viene monitorato in modo da poter intervenire rapidamente. 

Per approfondire il tema e comprendere come le soluzioni OpenText NetIQ possono consentirti di implementare una gestione dell’identità efficace, visita la pagina Zero Trust 

Scopri in che modo aumentare la sicurezza della tua azienda implementando una gestione dell’accesso e dell’identità basati sul modello Zero Trust.

Guarda la serie di Webinar on-demand di OpenText Cybersecurity dedicati a Zero Trust