Minimo privilegio e Zero Trust

Il minimo privilegio è uno dei fondamenti della sicurezza Zero Trust, basato su una strategia di sicurezza focalizzata sulla garanzia che identità, persone e processi abbiano il minimo livello di permessi necessari per essere produttivi o svolgere la loro funzione. 

Nel documento di “Introduzione alla sicurezza delle informazioni 800-12R1”, del National Institute of Standards and Technology (NIST) sono evidenziate i principali problemi risolvibili con il minimo privilegio.

Tra questi vi sono gli attacchi provenienti dall’interno ed effettuati da fornitori, dipendenti e addirittura amministratori e tutti i livelli di management. Il minimo privilegio consente in queste condizioni di limitare l’ambito del danno o degli abusi che queste figure possono infliggere a un’organizzazione.

La protezione risulta efficace anche quando il danno proveniente dall’interno non è di tipo volontario ma legato a un comportamento negligente da parte di operatori che, pur non avendo cattive intenzioni, commettono errori che espongono le loro organizzazioni al rischio. Un esempio di comportamento negligente è rappresentato dagli errori di configurazione che inavvertitamente potrebbero interrompono servizi digitali importanti o esporre informazioni sensibili al Web. 

Il furto di credenziali è un’altra casistica in cui l’approccio del minimo privilegio si dimostra efficace. In questo caso, più ampio e più esteso è l’accesso di un account, maggiore è il potenziale danno per l’organizzazione: il motivo per cui gli “executive” vengono sempre più presi di mira.

Le principali cause dell’eccesso di privilegi

L’eccesso di privilegi si verifica quando un utente accumula diritti oltre quelli giustificati dal suo ruolo all’interno dell’organizzazione. Di solito, questa situazione si verifica gradualmente nel tempo e colpisce spesso le organizzazioni che devono proteggere le loro informazioni regolamentate o sensibili. Quando gli individui cambiano ruoli, i permessi vengono spesso concessi rapidamente per rendere le persone produttive ma, poiché le responsabilità possono persistere, i diritti precedenti vengono spesso mantenuti. Anche con richieste e approvazioni automatizzate, l’eccesso di privilegi è ancora un rischio potenziale

Le tipologie di risorse dove è necessario valutare il minimo privilegio includono: applicazioni e servizi core, dati non strutturati, sistemi e piattaforme. Spesso l’eccesso di privilegi si accumula a mano a mano che le dinamiche aziendali divergono dalle politiche di governance definite. I flussi di lavoro dei permessi tendono a espandersi mentre le organizzazioni si trasformano e le responsabilità si spostano. 

Alcune delle fonti più comuni di eccesso di privilegi includono:

• Approvazioni: Gli approvatori, preferibilmente i proprietari delle informazioni, non valutano accuratamente le richieste di permessi. Gli approvatori occupati potrebbero non dedicare il tempo necessario per capire esattamente chi è l’utente che fa la richiesta e quali sono le sue esigenze.
• Processo di revisione inadeguato: Comprende la mancanza di revisioni regolari o quelle condotte da persone non attrezzate per valutare adeguatamente o valutare la correttezza delle richieste di accesso.
• Utenti ad alto rischio: Ci sono alcuni utenti per cui è molto possibile che accumulino un livello di diritti nel tempo che rappresenta un rischio inaccettabile per l’organizzazione. Ciò accade quando l’utente assume temporaneamente vari progetti e ruoli che richiedono diritti per eseguire e tali diritti vengono successivamente mantenuti.

L’aumento progressivo dei privilegi viola uno dei principi fondamentali del modello Zero Trust.

Zero Trust

Zero Trust è un concetto di sicurezza che adotta un approccio proattivo, verificando continuamente dispositivi, servizi e individui, invece di fidarsi ciecamente di essi. Il modello Zero Trust si basa sull’assunto di un’azienda che tutto ciò che è collegato al suo sistema necessita di verifica, che provenga da qualcuno o qualcosa, all’interno o all’esterno dell’organizzazione.

Mentre la sicurezza di rete tradizionale si è concentrata su limitare l’accesso a identità esterne alla rete, la sicurezza Zero Trust coinvolge il monitoraggio continuo di tutte le identità per verificare l’accesso e i privilegi. È, in ultima analisi, un elemento fondamentale della trasformazione digitale delle aziende che cercano di migliorare la loro sicurezza informatica.

Di conseguenza, una rete Zero Trust si basa sulla filosofia secondo la quale, poiché gli aggressori possono trovarsi sia all’interno sia all’esterno della rete, nessuna identità dovrebbe avere accesso automatico.

Alcuni componenti chiave per implementare un modello Zero Trust sono i seguenti:

• Autenticazione Multi-Fattore (MFA): richiede vari modi per confermare un’identità prima di concedere l’accesso; tale conferma può includere domande di sicurezza, conferma via email, messaggi di testo e altro ancora.
• Monitoraggio in tempo reale: valuta costantemente una rete per rilevare intrusi e limitare i danni che possono essere causati se un sistema è compromesso. Il monitoraggio in tempo reale è fondamentale per mitigare i danni quando le misure preventive non hanno funzionato e bloccare gli spostamenti laterali
• Microsegmentazione: questa tecnica entra in gioco quando un sistema è stato penetrato e consiste nel creare piccoli segmenti di ogni parte della rete. Creando diversi perimetri all’interno della rete, un hacker non può accedere alla rete oltre il piccolo microsegmento che è stato penetrato.
• Zone di Fiducia e Audit dei controlli di accesso predefiniti: le reti possono essere suddivise in zone di sicurezza o di fiducia come parte del TIC 3.0 per consentire agli utenti di condividere dati all’interno della zona. Questo aiuta ulteriormente a prevenire che gli intrusi accedano a dati aggiuntivi. Ovviamente, le zone di fiducia sono efficaci solo se tutte le richieste di accesso ai sistemi e alle zone sono crittografate e autorizzate come parte dell’accesso predefinito.

Le sfide dell’implementazione Zero Trust

L’architettura Zero Trust può senza dubbio migliorare la sicurezza della tua azienda, ma ci sono alcune sfide nell’implementare questo concetto di sicurezza. 

Innanzitutto va evidenziato l’elevato livello di impegno richiesto. I controlli predefiniti e l’accessibilità devono essere monitorati e aggiornati regolarmente e questo include quando gli utenti passano a nuovi ruoli e necessitano di accesso a parti diverse della rete. Le aziende devono avere una visione completa di tutte le identità e dei requisiti di sicurezza, e aggiornare immediatamente i cambiamenti. Qualsiasi ritardo nell’aggiornamento dei controlli potrebbe lasciare dati sensibili vulnerabili a terze parti.

Alcune applicazioni essenziali (come i sistemi HR) sono necessarie per il funzionamento quotidiano di un’azienda, ma sono generalmente escluse dal modello di sicurezza Zero Trust. I sistemi più vecchi che sono già in uso spesso non possono essere protetti dai sistemi di verifica. Di conseguenza, le app preesistenti possono rappresentare un punto debole nel sistema di sicurezza e ridurre il vantaggio del passaggio a Zero Trust. Quando si adottano soluzioni Zero Trust, le app precedenti potrebbero dover essere sostituite o rielaborate, il che potrebbe aumentare i costi della transizione.

Infine, alcune aziende potrebbero avere difficoltà a dimostrare la compliance se non sono in grado di rendere i dati accessibili. Le regolamentazioni sono state lente a cambiare per tener conto dello Zero Trust, ma dovrebbe essere solo questione di tempo. 

Implementare un’architettura Zero Trust

La transizione allo Zero Trust è un processo continuo, e tutti gli utenti devono essere consapevoli di questo fatto. Sapere che sono in corso cambiamenti può aiutare tutti gli utenti a metterli in pratica rapidamente per evitare interruzioni nel flusso di lavoro. Di conseguenza, per implementare un modello Zero Trust lo si dovrebbe render un compito organizzativo, coinvolgendo tutti i manager e aiutandoli a informare adeguatamente i loro team e a avviare una discussione su quali parti della rete dovrebbero essere prioritarie nella transizione. 

Una valutazione accurata del sistema è necessaria per identificare i dati sensibili e i sistemi e prendere consapevolezza dei gap di sicurezza nell’infrastruttura esistente. È essenziale mappare dove si trovano i dati importanti e quali utenti devono essere in grado di accedervi, prendendo anche nota di come i dati e gli asset sono condivisi e resi sicuri e della loro compatibilità una volta implementata la microsegmentazione.

Infine è essenziale rendere Zero Trust parte della trasformazione digitale complessiva. Man mano che le aziende si spostano verso il cloud e incorporano l’IoT, è ragionevole che decidano di passare a un modello Zero Trust perché così facendo forniranno un livello di sicurezza migliorato all’ecosistema e copriranno anche le tecnologie legacy durante la transizione.