Il modello di sicurezza tradizionale delle reti aziendali si basava su un concetto semplice: tutto ciò che è dentro il perimetro (rete aziendale, ufficio, VPN) è fidato; tutto ciò che è fuori non lo è. Questo approccio era ragionevole quando i dati risiedevano su server fisici in azienda e i dipendenti lavoravano in ufficio su dispositivi aziendali.
Lo scenario è radicalmente cambiato: dati in cloud, smart working, BYOD (Bring Your Own Device), accessi da reti esterne, fornitori e partner che si connettono ai sistemi aziendali. Il "perimetro" di rete tradizionale non esiste più — e un attaccante che riesce ad entrare all'interno viene trattato come un utente fidato.
Zero Trust è il modello di sicurezza che risponde a questa nuova realtà con un principio fondamentale: non fidarsi mai, verificare sempre. Nessun utente, dispositivo o sistema è considerato fidato per default, indipendentemente dalla posizione nella rete.
I principi fondamentali del Zero Trust
- Verifica esplicita: autenticare e autorizzare ogni richiesta basandosi su tutti i dati disponibili — identità utente, stato del dispositivo, posizione, servizio richiesto, anomalie comportamentali.
- Privilegio minimo: ogni utente, applicazione e servizio ha accesso solo alle risorse strettamente necessarie alla propria funzione, per il tempo minimo necessario.
- Assume breach: progettare i sistemi assumendo che una violazione sia già avvenuta o avverrà. Segmentare la rete per limitare il movimento laterale. Cifrare tutto il traffico interno.
Zero Trust applicato ai sistemi web: aspetti pratici
Per un sito web o una web app, i principi Zero Trust si traducono in:
| Area | Approccio tradizionale | Approccio Zero Trust |
|---|---|---|
| Accesso admin CMS | Username + password, qualsiasi IP | MFA + whitelist IP + session timeout breve |
| API interne | Accessible dalla rete interna senza autenticazione | Autenticazione per ogni chiamata, token scoped |
| Database | Accesso da qualsiasi applicazione sul server | Credenziali separate per ogni applicazione, accesso solo alle tabelle necessarie |
| Deploy e accesso SSH | Chiave SSH condivisa, accesso root | Chiavi individuali per developer, utenti dedicati non-root, log completi |
| Integrazioni terze parti | API key con accesso completo | API key con scope minimo, rotazione periodica |
Come le PMI possono avvicinarsi al Zero Trust
L'implementazione completa di un'architettura Zero Trust è un percorso, non un evento. Le priorità per una PMI sono:
- MFA ovunque: il primo passo concreto e ad alto impatto. Email aziendale, cloud, VPN, pannelli di gestione — tutto deve richiedere un secondo fattore.
- Inventario degli accessi: mappare chi accede a cosa, con quali credenziali e con quale frequenza. Eliminare account non usati e permessi non necessari.
- Segmentazione: separare reti e sistemi per funzione (es. rete guest separata dalla rete di lavoro, database non raggiungibili direttamente da internet).
- Logging e visibilità: non si può gestire ciò che non si vede. Log centralizzati degli accessi sono il prerequisito per rilevare comportamenti anomali.
NEO WEB applica i principi Zero Trust nello sviluppo di web app e gestionali custom — dalla struttura dei permessi alla gestione degli accessi API — e nella configurazione dei server di hosting dei clienti. Contattaci per discutere come applicare questi principi alla tua infrastruttura digitale.
