Come far convergere sicurezza e produttività

È fin troppo comune ritenere che gli strumenti e le pratiche di sicurezza IT vadano a discapito della produttività. Anche la sicurezza fisica implica questo compromesso. Non ci sarebbe fretta di arrivare in aeroporto con un'ora di anticipo se non fosse per le numerose misure di sicurezza che comporta un volo. Per via di questo compromesso, la nostra preoccupazione spesso non è se possiamo aumentare la sicurezza nelle nostre reti, ma se la maggiore sicurezza vale l'impatto sull'azienda.

Quando si adottano nuove tecnologie che favoriscono il business, è necessario anche considerare il rapporto tra rischi e vantaggi. Dopo aver deciso che una nuova tecnologia è utile per l'azienda, dobbiamo quindi decidere se tale valore supera la superficie di attacco e, a sua volta, il rischio di violazione che ne deriva. Per questo motivo, una tensione costante tra i team addetti alla sicurezza e all'IT è diventata un dato di fatto. Ma ciò non deve avvenire.

Nell'aggiornamento della piattaforma di aprile 2022, analizzeremo i modi con cui Akamai sta costruendo un futuro professionale in cui i suoi clienti possano intraprendere un percorso Zero Trust che riduce al minimo il rischio di violazione accelerando la produttività aziendale. Il raggiungimento di questa convergenza di sicurezza e produttività inizia con l'affrontare le sfide comunemente associate all'implementazione dei principi del modello Zero Trust.

Il lato oscuro del modello Zero Trust

Analisti, fornitori e professionisti della sicurezza hanno offerto svariate prospettive sul significato del modello "Zero Trust" e su come raggiungerlo. L'unico aspetto su cui sembriamo tutti d'accordo è che si tratta di una solida base su cui i team addetti alla sicurezza possono ridurre al minimo il rischio e l'impatto di una violazione. Tuttavia, è facile concordare sullo stato ideale del modello Zero Trust senza approfondire i dettagli su come arrivarci e sul suo potenziale impatto sull'azienda.

Il modello Zero Trust presenta uno stato finale in cui si "azzera" qualsiasi fiducia implicita all'interno dell'ambiente che crea un rischio, ma che non facilita il lavoro. Probabilmente, siamo tutti d'accordo che una cosa del genere sarebbe ottimale: gli autori degli attacchi non avrebbero spazio per abusare delle vulnerabilità presenti nei nostri sistemi o per introdurre nuovi malware. 

Il lato oscuro del modello Zero Trust emerge quando consideriamo tutto ciò che deve accadere per arrivare a tale stato finale. Dobbiamo considerare il percorso verso il modello Zero Trust e non solo la destinazione. La mancanza di concentrazione sul percorso stesso costituisce in gran parte il motivo per cui raramente viene messo in pratica. Nel delineare questo percorso, ci sono alcuni punti chiave su cui riflettere.

Rallentamenti della produttività 

Il primo è l'impatto sulla produttività dei dipendenti, accidentale o previsto. Un aspetto fondamentale del modello Zero Trust è la limitazione dell'accesso, principalmente tramite elenchi degli elementi non consentiti. Questa pratica consiste nel forzare ciò che può accadere; tutto il resto viene negato per impostazione predefinita. Nel ridurre la capacità di un criminale di portare a termine la propria campagna dannosa, spesso aumentiamo la probabilità di impedire accidentalmente a qualcuno di svolgere il proprio lavoro. 

È improbabile che un team addetto alla sicurezza possa prevedere ogni possibile scenario in cui le risorse e le persone devono comunicare tra loro. Inoltre, le aziende e la forza lavoro si evolvono e cambiano in modi imprevedibili. I team addetti alla sicurezza e all'IT devono tenere conto degli scenari in cui la fiducia non viene concessa, ma dovrebbe esserlo.

Un'altra implicazione potenzialmente dannosa dell'attuazione dei principi Zero Trust è rappresentata dai rallentamenti della produttività. L'aggiunta di controlli dell'identità, gli agenti che sovraccaricano i carichi di lavoro e i dispositivi degli utenti finali e gli strumenti a cui gli utenti finali devono accedere sono solo alcuni esempi. Ciascuno di essi potrebbe benissimo rientrare nella nostra tolleranza. Tuttavia, se consideriamo il loro impatto complessivo, questi piccoli ostacoli potrebbero raggiungere un punto in cui non valgono più il valore che forniscono.

La necessità di più punti di contatto

L'ultimo ma non meno importante dei punti deboli del percorso verso il modello Zero Trust di cui parleremo è l'impatto sui team addetti alla sicurezza e sui rispettivi integratori, architetti e analisti. Attualmente, non esiste un singolo prodotto sul mercato che possa facilitare da solo il percorso verso il modello Zero Trust. Di conseguenza, i team addetti alla sicurezza devono mantenere le policy su più console, implementare più agenti e gestire più integrazioni. 

Questo è un compito difficile anche per i team addetti alla sicurezza con il personale più efficiente e può comportare costi sostanziali sia in termini economici che in ore di lavoro. Quest'ultimo problema va ad aggiungersi alle prime due questioni aumentando la probabilità di falsi positivi e il numero di agenti e strumenti che iniziano a gravare sugli utenti finali.

Un perseguimento asintotico

Vale anche la pena notare che il perseguimento del vero modello Zero Trust è, in realtà, asintotico; possiamo avvicinarci a questo obiettivo, ma rimuovere ogni briciolo di fiducia implicita è probabilmente impossibile, soprattutto se pensiamo dove esattamente possiamo richiamare i principi Zero Trust. 

Ad esempio, consideriamo un attacco alla supply chain in cui un utente affidabile scarica e avvia un'applicazione affidabile da una fonte affidabile. Le attuali definizioni del modello Zero Trust permetterebbero che ciò accada e il payload dannoso è in grado di aggirare tutte le nostre zone di fiducia. In tal caso, potremmo considerare la necessità di applicare il modello Zero Trust all'endpoint, all'interno della memoria, ma parleremo di questo un altro giorno. Il punto è che, anche se conseguire un modello Zero Trust perfetto potrebbe essere impossibile e avvicinarsi ai nostri obiettivi potrebbe comportare diversi punti deboli, è uno sforzo che vale davvero la pena perché offre un futuro lavorativo in cui la riduzione al minimo degli sforzi e la massimizzazione della produttività vanno di pari passo. 

Nel post di oggi, discuteremo di come Akamai si impegni nell'intento di aiutare le aziende a trasformare questa visione in realtà. Ad ogni fase del percorso, possiamo ridurre la probabilità di una catastrofica violazione senza interrompere l'attività. Con l'ampia adozione del modello Zero Trust come stato finale desiderato, ora spetta ai fornitori di servizi di sicurezza come Akamai rendere questi passaggi realizzabili da più aziende, rapidamente e senza conseguenze negative come quelle sopra menzionate.

Come colmare il divario tra visione e realtà

Zero Trust significa consentire solo ciò che è necessario per il funzionamento di un'azienda e vietare tutto il resto. Distinguere tra azioni necessarie e non necessarie e poi agire di conseguenza con precisione è alla base del percorso verso il modello Zero Trust. Senza l'adozione degli strumenti giusti, tutto ciò è quasi impossibile. Di conseguenza, le aziende consentono più del necessario e sono esposte a troppi rischi oppure vietano più del dovuto, inibendo la produttività. 

Per quanto complesso possa risultare questo compito, esistono modi per rimuovere la fiducia implicita con un tale livello di precisione e granularità che gli utenti finali non se ne accorgeranno nemmeno. Inoltre, se tutto viene eseguito correttamente, si può ridurre al minimo la superficie di attacco al punto tale che l'adozione di nuove tecnologie sia sicura e tutte le azioni che favoriscono il business siano affidabili. Sicurezza e produttività convergeranno in modo tale che il modello Zero Trust riduca al minimo il rischio e l'impatto di una violazione, rendendo, allo stesso tempo, efficiente la forza lavoro. Ma come trasformare in realtà questa prospettiva futura del lavoro?

I tre componenti chiave per arrivare al modello Zero Trust

Sono tre i componenti chiave per arrivare al modello Zero Trust senza dover subire i suoi svantaggi :

• Visibilità

• Comprensione

• Controllo

Abbiamo bisogno di una visibilità cronologica e in tempo reale di tutte le nostre risorse e dei rispettivi flussi. Dobbiamo comprendere cosa sta succedendo e perché. E, infine, dobbiamo agire in base a questa comprensione con un controllo preciso e granulare.

Visibilità significa fornire all'amministratore della sicurezza una visione delle varie risorse, dei flussi, delle applicazioni e degli utenti da cui stiamo cercando di rimuovere la fiducia implicita. Questa visibilità deve essere sufficientemente ampia da includere i vari sistemi operativi, dispositivi e altri aspetti della nostra rete.

Successivamente, dobbiamo comprendere la funzione di ciò di cui ora abbiamo visibilità. Solo con questa comprensione possiamo distinguere accuratamente tra ciò che è necessario e ciò che non lo è. Contesto, guida e visualizzazioni ci consentono di comprendere cosa dovrebbe e cosa non dovrebbe accadere, cosa è necessario per l'azienda e cosa sta creando dei rischi.

Quando abbiamo una visibilità completa e comprendiamo cosa sta accadendo, possiamo iniziare a rimuovere la fiducia implicita. Granularità e precisione sono fondamentali a questo punto. Ad esempio, alcuni processi sono necessari per le normali operazioni, ma includono servizi non richiesti, di cui i criminali potranno abusare. In questo caso, dobbiamo essere in grado di applicare delle policy a livello del servizio. Una policy generale a livello di un computer o addirittura di un'applicazione potrebbe generare falsi positivi. 

Gli strumenti del mestiere

Attualmente, nessuno strumento può offrire le funzionalità richieste per porre fine alla fiducia implicita nelle nostre reti come con il modello Zero Trust. Per risolvere questo problema, Akamai sta costruendo la gamma di prodotti Zero Trust più completa con una roadmap che mostra questi strumenti completamente integrati.