Solamente chi ha accettato di considerare la sicurezza IT una vera e propria strategia e non una semplice mansione tra le tante a carico di un responsabile o un dipartimento dedicato, può avere una visuale oggettiva della complessità della questione. Una difesa dei sistemi aziendali infatti, oggi difficilmente può fare a meno di un approccio zero trust. Un compito impegnativo su tutti i fronti, non solo per gli utenti. «Siamo passati a uno scenario dove il perimetro di competenza è sempre meno definito e dove i partner aumentano – riflette Fabio Zezza, Italy & Netherlands Country Sales Lead – Data Protection & Cyber Recovery Solutions di Dell Technologies –. Se combiniamo tutto questo con i recenti problemi di budget, emerge chiaramente la difficoltà di riuscire a fare tutto quanto sarebbe necessario in tema di cybersecurity».
Una riflessione realistica, dal quale emerge un problema cruciale per difendere il patrimonio informativo, e di conseguenza l’operatività, di un’azienda. Senza neppure immaginare di dover fare delle scelte, la soluzione passa sempre più spesso per strategie zero trust. A questo punto, la questione è come riuscire a garantire tutte le competenze del caso, da entrambe le parti, necessarie a gestire tale complessità.
La risposta è semplice, anche se non necessariamente scontata. Partendo dal presupposto di come nessun fornitore sia realisticamente in grado di garantire una soluzione completa per conto proprio, Dell ha varato appunto Zero Trust, un framework di cybersicurezza in grado di automatizzare l’architettura di protezione orchestrando una risposta non appena i sistemi vengano attaccati. Per riuscirci, alle spalle c’è un ecosistema che riunisce oltre trenta società specializzate in tecnologia e sicurezza per creare una soluzione unificata. Si parla di nomi già da soli in grado di garantire il raggiungimento dell’obiettivo, tra i quali spiccano Corsha, Gigamon, Intel, Juniper Networks, MISI, Nomad GCS, NVIDIA, Palo Alto Networks e VMware, pronti a collaborare e a integrare le rispettive competenze.
Dritti al centro della questione sicurezza con lo zero trust
«L’obiettivo è automatizzare sia la sicurezza infrastrutturale sia le applicazioni – sottolinea Zezza -. In pratica, trasliamo alcuni concetti noti ed esistenti, utilizzati da tempo sulla parte infrastrutturale, fino al nocciolo delle architetture, per arrivare a ridurre i rischi, a proteggere le attività a prescindere dalla dimensione e dal tipo di attività».
Pensare di riuscire a fare tutto da soli in tema di sicurezza IT è ormai praticamente un illusione. Se dal lato cliente è importante capire quanto sia necessario rivolgersi a partner qualificati, dall’altra la stessa Dell intende dare il buon esempio. «Sentiamo una responsabilità per garantire ai clienti la protezione dei dati e al riguardo tutte le nostre soluzioni integrano da tempo principi di zero trust a livello architetturale. Questo però, non basta. Bisogna avere l’onesta intellettuale di conoscere l’esistenza di altre soluzioni necessarie a coprire tutte le esigenze. Per questo abbiamo scelto di fare leva su un robusto ecosistema di partnership con società specializzate».
Una mossa coraggiosa, potenzialmente molto lungimirante. Pensare a diventare fornitore unico di un cliente un ambito IT è pura fantascienza. Maggiore è la conoscenza reciproca delle tecnologie, maggiori sono le garanzie in tema di sicurezza. Dove c’è sicurezza nei propri mezzi, questa strada si trasforma da timore in opportunità.
In uno scenario zero trust, ogni dispositivo o utente deve essere riconosciuto e autorizzato e qualsiasi azione deve essere approvata. Pensare di gestire separatamente, o peggio ancor manualmente, ogni modulo è per definizione una falla in una strategia di sicurezza. Poter contare su qualcuno in grado di affrontare e risolvere la questione a monte, è un vantaggio indiscutibile.
«Abbiamo costituito un ecosistema di aziende specializzate, al momento più di trenta, in una tematica di cybersecurity fondamentale per costruire un approccio a 360°. La scelta delle aziende non è stata casuale, sono partner insieme ai quali sviluppare all’interno di Zero Trust Center of Excellence una soluzione end-to-end».
Per un’azienda cliente, la prospettiva di abbattere tempi e costi relativi ai problemi di integrazione. Questioni risolte a un livello superiore. «È in linea con la nostra strategia di sicurezza IT costruita su tre pilastri. Prima di tutto la protezione integrata all’interno dei nostri sistemi, quindi migliorare la capacità di resilienza dell’IT e infine semplificarne la gestione».
La percezione non basta, è tempo di agire
Quando si parla di sicurezza IT, uno dei messaggi più difficili da trasmettere resta la percezione del problema. Grazie anche alla crescente copertura mediatica, negli ultimi anni la situazione ha iniziato a muoversi. È però ancora lontano poter parlare di un approccio cosciente e diffuso alla questione. «La comunicazione ha certamente contribuito a creare interesse intorno all’argomento. Questo non significa però che tutti si stiano effettivamente muovendo, soprattutto quando si parla di resilienza».
Manca infatti una certa maturità della questione. La consapevolezza di dover intervenire su tanti punti con soluzioni dedicate e integrate. Esattamente quel passaggio da interventi singoli a strategia, dal quale scaturisce la solidità infrastrutturale. «Non serve mettere a punto un sistema di intrusion detection se poi non ho un adeguato supporto quando un sistema viene attaccato e non c’è un procedura per farlo ripartire. Ancora troppo spesso, veniamo interpellati solo a seguito di un attacco»
Nella visione sostenuta da Dell e dai relativi partner, sono sette i pilastri considerati fondamentali per una buon strategia di sicurezza. Una visuale più dettagliata dei tre principi di base di un approccio zero trust, individuati prima di tutti nell’autenticazione continua e su più livelli e multifactor, seguita dal controllo di una connessione di quanto stia facendo un utente con verifica continua delle autorizzazioni. Fondamentale inoltre la cifratura, così come architetture software defined utili ad agevolare i controlli. Inoltre, un controllo unificato delle policy per definire chiare e semplici regole di autorizzazioni, dove anche la minima deviazione si traduce in un campanello d’allarme.
Da questo lavoro sono emerse le 45 funzionalità considerate le componenti indispensabili dell’ecosistema. Esattamente quelle coperte nell’insieme dai trenta partner individuati. Combinare così tante competenze e relative tecnologie sarebbe però un lavoro fuori dalla portata anche dell’azienda meglio organizzata. Un altro punto in favore di Zero trust, in grado di garantire al cliente la soluzione su misura senza doversi preoccupare di dettagli tecnici e di integrazione. Se non quanto di meglio possa chiedere un’azienda, quasi.
«Anche noi intendiamo semplificare l’approccio del cliente verso il mercato – conclude Zezza -. Dove però non possiamo riuscire da soli sia per aumentare la sensibilità sia il livello di sicurezza interno».
