Migliori pratiche di fiducia zero

Best practice per la sicurezza Zero Trust

La sicurezza Zero Trust non è un prodotto, è un processo. Di seguito sono riportate sei best practice che le organizzazioni dovrebbero osservare nel percorso verso la sicurezza Zero Trust.

Verifica tutti gli utenti con l'autenticazione a più fattori (MFA)

Si dice spesso che il modello Zero Trust sia radicato nel principio del "non fidarsi mai, verificare sempre". Ma, se correttamente implementato, è più corretto dire che lo zero trust è radicato nel principio del "non fidarsi mai, verificare sempre e verificare di nuovo".

Sono finiti i giorni in cui un nome utente e una password erano sufficienti per convalidare l'identità di un utente. Oggi, queste credenziali devono essere rafforzate utilizzando l’autenticazione a più fattori (MFA). Ulteriori fattori di autenticazione possono essere costituiti da uno o più dei seguenti elementi:

• Qualcosa che sai: può trattarsi di una password, di una domanda di sicurezza, di un PIN, di un codice postale o di qualsiasi altra informazione personale.
• Qualcosa che hai: di solito un SMS di verifica, un messaggio inviato al tuo telefono, codici generati nelle app di autenticazione, un token hardware, ecc.
• Qualcosa che sei: può trattarsi di un dati biometrici come la scansione delle impronte digitali, la scansione della retina, la scansione del viso o la voce.

Quando si implementa un'architettura Zero Trust, l'identità di ogni utente che accede alla rete (utente privilegiato, utente finale, clienti, partner...) dovrebbe essere verificata utilizzando molteplici fattori. E questi fattori possono essere regolati a seconda della sensibilità dei dati/risorse a cui si accede.

Verifica tutti i dispositivi:

La verifica degli utenti è necessaria ma non sufficiente. I principi di zero trust si estendono anche ai dispositivi endpoint. La verifica del dispositivo include la garanzia che qualsiasi dispositivo utilizzato per accedere alle tue risorse interne soddisfi i requisiti di sicurezza della tua azienda. Cerca una soluzione che ti consenta di monitorare e applicare lo stato di tutti i dispositivi con un facile onboarding e offboarding dell'utente.

Implementare il principio del privilegio minimo

Il principio del privilegio minimo (PoLP) determina a cosa è possibile accedere in un ambiente zero-trust. Si basa sull'idea che a un particolare utente dovrebbero essere concessi solo i privilegi sufficienti per consentirgli di completare una particolare attività.

Ad esempio, un tecnico che si occupa solo dell'aggiornamento delle righe di codice legacy non ha bisogno di accedere ai record finanziari. PoLP aiuta a contenere i potenziali danni in caso di compromissione della sicurezza.

L'accesso con privilegi minimi può anche essere espanso per includere l'accesso privilegiato "just in time". Questo tipo di accesso limita i privilegi solo ai momenti specifici in cui sono necessari. Sono inclusi i privilegi in scadenza e le credenziali monouso.

Monitora e controlla tutto:

Oltre ad autenticare e assegnare privilegi, dovresti anche monitorare e rivedere tutta l'attività degli utenti sulla rete. Ciò contribuirà a identificare qualsiasi attività sospetta in tempo reale. La visibilità è particolarmente importante per gli utenti che dispongono di diritti amministrativi a causa dell'ampia portata delle loro autorizzazioni di accesso e della sensibilità dei dati che possono raggiungere.

Adottare controlli basati su attributi:

Utilizza controlli basati sugli attributi per autorizzare l'accesso alle risorse nel tuo stack di sicurezza: dalle applicazioni cloud e on-premise, alle API, ai dati e all'infrastruttura. Questi consentiranno all'amministratore di regolare e applicare facilmente i criteri di accesso per bloccare eventi sospetti in tempo reale.

Considera i tuoi utenti finali:

Non lasciare che la perfezione sia nemica del bene. Implementare la perfetta strategia Zero Trust che i tuoi utenti finali odiano usare non è una buona strategia. Voi utenti finali volete solo lavorare. Prendi in considerazione una strategia e prodotti che creino l'esperienza più fluida e simile a SaaS per il tuo team.