Modello di maturità Zero Trust e pianificazione della migrazione

Zero Trust non è un prodotto da acquistare, ma un percorso di miglioramento continuo che coinvolge diversi domini della sicurezza. Senza un modello di maturità strutturato, le organizzazioni incontrano difficoltà nel definire le priorità degli investimenti e nel misurare i progressi. Il CISA Zero Trust Maturity Model fornisce un linguaggio comune e una roadmap che aiutano i team a comprendere la propria postura attuale e a pianificare miglioramenti realistici e progressivi.

Il CISA Zero Trust Maturity Model definisce cinque pilastri — Identità, Dispositivi, Reti, Applicazioni e carichi di lavoro e Dati — e tre fasi di maturità: Tradizionale, Avanzata e Ottimale. Nella fase Tradizionale esistono silos e la fiducia implicita è comune. Nella fase Avanzata migliorano l'automazione e l'integrazione. Nella fase Ottimale, criteri dinamici, monitoraggio continuo e automazione sono implementati completamente in tutti i pilastri.

Nel pilastro dell'identità, le organizzazioni Tradizionali usano l'autenticazione di base con nome utente e password, senza MFA. Le organizzazioni Avanzate implementano MFA e single sign-on per la maggior parte delle applicazioni. Le organizzazioni Ottimali usano un'autenticazione continua basata sul rischio con analisi comportamentale: ogni richiesta di accesso viene valutata in tempo reale usando punteggi di rischio dinamici, elevazione dei privilegi just-in-time e metodi di autenticazione senza password.

Nel pilastro dei dispositivi, le organizzazioni Tradizionali dispongono di un inventario minimo degli asset e applicano pochi controlli. Le organizzazioni Avanzate implementano MDM e impongono controlli di conformità di base. Le organizzazioni Ottimali dispongono di un inventario completo degli asset, monitorano continuamente la conformità, correggono automaticamente i dispositivi non conformi, usano l'attestazione hardware (TPM) e integrano i segnali sullo stato del dispositivo in ogni decisione di accesso tramite il motore dei criteri.

Nel pilastro delle reti, le organizzazioni Tradizionali si affidano a firewall perimetrali e a reti interne piatte. Le organizzazioni Avanzate implementano la macro-segmentazione e iniziano a sostituire le VPN con ZTNA per alcuni casi d'uso. Le organizzazioni Ottimali realizzano la micro-segmentazione completa di tutti i carichi di lavoro, il traffico est-ovest crittografato, perimetri definiti dal software e analisi del traffico di rete che alimentano in tempo reale il motore dei criteri Zero Trust.

Per Applicazioni e carichi di lavoro, le organizzazioni Tradizionali concedono un accesso ampio per ogni applicazione. Le organizzazioni Ottimali applicano un accesso con privilegi minimi per sessione, con prevenzione della perdita di dati inline e ispezione a livello applicativo. Per il pilastro dei dati, le organizzazioni Tradizionali applicano una classificazione minima. Le organizzazioni Ottimali realizzano il rilevamento e la classificazione automatizzati dei dati inattivi e in transito, la crittografia ovunque e controlli di accesso incentrati sui dati, che seguono i dati indipendentemente dal luogo in cui vengono trasferiti.

Prima di pianificare una migrazione, esegua una valutazione dei gap in tutti e cinque i pilastri. Per ogni pilastro, documenti lo stato attuale (Tradizionale/Avanzato/Ottimale), lo stato obiettivo e i gap da colmare. Raccolga i dati dai log del provider di identità, dalle console MDM, dai diagrammi di rete, dagli inventari delle applicazioni e dai report di classificazione dei dati. Il risultato è un elenco prioritario di progetti associati a ciascun pilastro.

Le migrazioni Zero Trust efficaci iniziano con risultati rapidi che migliorano la sicurezza senza interrompere l'attività aziendale. I risultati tipici della Fase 1 includono: implementare l'MFA per tutti gli utenti, registrare i dispositivi in MDM, implementare l'SSO per ridurre la proliferazione delle password e abilitare Conditional Access di base. Questi passaggi affrontano i rischi più critici (compromissione delle credenziali e dispositivi non gestiti), rafforzando al contempo la fiducia degli stakeholder in vista di investimenti più consistenti.

La Fase 2 integra i pilastri e introduce l'automazione. I punteggi di rischio dell'identità alimentano i criteri di Conditional Access. La conformità del dispositivo viene applicata come controllo per l'accesso alle applicazioni. ZTNA sostituisce la VPN per l'accesso remoto. Privileged Access Management (PAM) archivia e ruota le credenziali privilegiate. L'automazione riduce gli interventi manuali e garantisce l'applicazione coerente dei criteri, eliminando l'errore umano nelle decisioni di controllo degli accessi.

Tra le difficoltà comuni della migrazione Zero Trust vi sono le applicazioni legacy che non supportano i protocolli di autenticazione moderni (SAML, OIDC), la resistenza degli stakeholder da parte dei team i cui flussi di lavoro vengono modificati e la proliferazione degli strumenti dovuta all'integrazione di prodotti per identità, MDM, SIEM e ZTNA. Per affrontarle sono necessarie roadmap di modernizzazione delle applicazioni, il sostegno dei dirigenti, programmi di gestione del cambiamento e il consolidamento delle piattaforme per ridurre la complessità dell'integrazione.

La maturità del modello Zero Trust deve essere misurata attraverso metriche quantificabili, non valutazioni soggettive. Tra le metriche principali rientrano: percentuale di utenti registrati all'MFA, percentuale di dispositivi registrati nell'MDM e conformi, percentuale di applicazioni accessibili esclusivamente tramite ZTNA, tempo medio di rilevamento (MTTD) dei tentativi di movimento laterale e numero di protocolli legacy disabilitati. La misurazione regolare rispetto ai checkpoint del modello di maturità CISA mantiene il programma sulla buona strada e giustifica la prosecuzione degli investimenti.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: il modello di maturità Zero Trust di CISA definisce cinque pilastri distribuiti su tre fasi di maturità, le valutazioni delle lacune identificano il livello di sicurezza attuale e consentono di stabilire le priorità dei progetti di miglioramento, mentre una migrazione per fasi che inizia dai risultati rapidi (MFA, MDM, SSO) offre vantaggi iniziali in termini di sicurezza e, al contempo, costruisce il percorso verso un modello Zero Trust completo. Nella prossima lezione esamineremo la metodologia del threat hunting e come elaborare ipotesi strutturate per un'analisi proattiva.