Si raccomanda di prestare attenzione quando si affronta l’argomento delle VPN (reti private virtuali) con Anton Chuvakin, responsabile della strategia per le soluzioni di sicurezza presso Google Cloud. Non gli piacciono molto. «Si rompono», afferma. «Si rompono spesso. «E proprio nei momenti più difficili.»
Lo scetticismo di Chuvakin è ben fondato. Negli ultimi dieci mesi, ha assistito in tempo reale a un esperimento non pianificato. Un collega dell’ Google , che ha effettuato l’accesso alle risorse lavorative di Google tramite un sistema di accesso “zero-trust” (che, nella maggior parte dei casi, richiede l’autenticazione di ogni dispositivo e di ogni utente prima che venga concesso l’accesso alla rete), non ha riscontrato alcun problema di connessione. Nel frattempo, la moglie dell’uomo, che utilizzava una VPN per accedere alla rete aziendale, doveva affrontare problemi di connessione almeno una volta al giorno. La frustrazione derivante dal cercare di lavorare in quel modo, afferma Chuvakin, «è come avere il cervello collegato a una VPN».
Le difficoltà legate all’utilizzo delle VPN e i problemi di sicurezza che queste comportano per i lavoratori in remoto — le VPN sono ottime se gestite e configurate correttamente, ma non proteggono dalle minacce che provengono dalla rete domestica — sono al centro delle riflessioni di Chuvakin, così come lo sono le altre sfide che la tecnologia aziendale ha dovuto affrontare lo scorso anno. Poiché i dipendenti si sono ritrovati improvvisamente al di fuori dei propri firewall, i team di sicurezza si sono affrettati a proteggerli con il software anti-malware e i sistemi di monitoraggio che un tempo erano forniti dalla rete aziendale.
Man mano che il lavoro da remoto continua ad affermarsi come nuova normalità a livello mondiale, questi team devono ora garantire che l’autenticazione sia ben definita, sicura e di facile utilizzo in tutta l’azienda. Molti devono farlo in contesti complessi di cloud ibrido , oppure devono fare i conti con sistemi legacy e applicazioni obsolete.
[Legga anche: Perché la complessità non è nemica della sicurezza]
È compito di Chuvakin rispondere all’esigenza attuale di un accesso remoto sicuro. Egli apporta a questo ruolo un bagaglio di esperienze davvero notevole. Oltre ad aver ricoperto in precedenza il ruolo di responsabile della strategia di sicurezza dell’ Google Chronicle, ha ricoperto la carica di vicepresidente della ricerca e analista di spicco presso la società di ricerche di mercato Gartner. In tale ambito, si è occupato, tra le altre discipline, di gestione delle informazioni e degli eventi di sicurezza, gestione dei log, monitoraggio della sicurezza, centri operativi di sicurezza, analisi della sicurezza e analisi del comportamento di utenti ed entità. Chuvakin, fisico, ha inoltre conquistato un notevole seguito online grazie al suo account su “ ” ( Twitter) e ai suoi articoli pubblicati su “ ” ().
Chuvakin ha recentemente parlato con Endpoint per discutere delle problematiche di sicurezza che le aziende devono affrontare mentre si preparano a un futuro in cui la forza lavoro continuerà a operare da remoto, e di come i team di sicurezza stiano adottando l’approccio “zero trust” per proteggere i dipendenti e le reti.
In che modo un modello di sicurezza “zero-trust” si allinea alle attuali priorità del CISO?
Quando, lo scorso anno, le aziende sono passate al lavoro da casa, molte di esse hanno fatto ricorso ai propri server VPN per consentire l’accesso remoto. Tuttavia, la situazione si è rivelata problematica quando si sono trovati a dover passare da 1.000 dipendenti in telelavoro a 50.000. Si trattava di una situazione complessa, poiché non solo dovevano sostenere i costi per un maggior numero di accessi VPN, ma dovevano anche adeguare tali sistemi in modo diverso.
L'obiettivo del modello "zero trust" è quello di proteggere le reti informatiche da intrusioni dolose. Lo fa considerando ogni dispositivo che tenti di effettuare l'accesso come una potenziale minaccia. Il modello "zero trust" rappresenta una soluzione più semplice al problema dell'accesso remoto rispetto alle VPN.
Ecco perché questo è il momento giusto per farlo. Viviamo in un’epoca in cui un accesso remoto efficace, semplice, sicuro, stabile e basato sul modello zero-trust rappresenta una necessità imprescindibile. Questo è il motivo principale. Ma ce ne sono altri.
Di cosa si tratta?
Tra questi figurano il numero di applicazioni e servizi a cui le aziende accedono tramite browser, che è già relativamente elevato e in continua crescita. In passato, se aveva bisogno di un accesso diretto alla rete, utilizzava la VPN e, una volta entrato, era dentro, e poteva accedere a molte risorse. Riteniamo che, al giorno d’oggi, nel mondo delle applicazioni browser e dell’accesso tramite API [interfaccia di programmazione delle applicazioni], sia molto più semplice per i team di sicurezza garantire un accesso sicuro a tali applicazioni, e sia molto più semplice per i dipendenti accedervi.
[Legga anche: Gli esperti offrono consigli su come avvicinarsi al modello Zero Trust]
Questo è uno di quei rari casi in cui è possibile trovare un equilibrio tra semplicità e sicurezza. E questo è un punto fondamentale. So che sembra la solita propaganda commerciale: «Oh, è sicuro e facile». Ma possiamo dimostrarlo. È più sicuro perché si dispone di controlli di accesso più granulari e agli utenti non vengono concesse autorizzazioni generiche per eseguire determinate operazioni. È semplice perché gli utenti non devono preoccuparsi di avviare un client VPN, né di configurare certificati digitali o altre operazioni simili. È tutto sistemato.
In che modo l’approccio “zero trust” aiuta le aziende a gestire ambienti ibridi complessi?
Per “cloud ibrido” si intende che alcune applicazioni si trovano in locale, altre nel cloud privato e altre ancora in più cloud. Inserisco il concetto di “multicloud” nel contesto del cloud ibrido, anche se non sempre è ciò che ci si aspetta.
Ciò fa parte di una sfida di grande rilievo. L'IT aziendale odierno consiste in una stratificazione di elementi risalenti a diversi anni fa, a cui si aggiungono tecnologie successive. Quasi nessuna tecnologia scompare mai del tutto. Rifletteteci: i mainframe non sono scomparsi. I clienti ci parlano della complessità dei loro ambienti nel loro complesso. Dispongono di server Unix, server Windows , data center e servizi cloud Amazon e Google . Vogliono sapere cosa fare per gestirli tutti al meglio.
Ai tempi in cui lavoravo presso Gartner, ho visto molti clienti che erano estremamente preoccupati all’idea di dover gestire e proteggere gli ambienti in cui erano state implementate soluzioni delle versioni 1970s, 1980s, 1990s, 2000s, 2010s e, ora, 2020s — dai mainframe ai container.
A mio avviso, la sfida del cloud ibrido costituisce un sottoinsieme di quella sfida più ampia.
L’approccio “zero trust”, e più specificatamente il nostro prodotto “ ” BeyondCorp Enterprise , risulta utile in questi ambienti poiché copre le applicazioni presenti all’interno del cloud di Google . E sia nell’ambito del cloud in generale che in quello on-premise. BeyondCorp Enterprise Le consente sia di passare al cloud sia di utilizzare ambienti ibridi. Questo è ciò che conta di più.
Nel corso dello sviluppo di , avete collaborato con i clienti per passare al modello Zero Trust. Quali insegnamenti ne ha tratto?
Spesso le organizzazioni ci dicono: «Beh, voi avete questo sistema straordinario che funziona bene. È morbido come il burro. È sicuro. «Le fornisce tutti i dati di telemetria di cui ha bisogno.» Ciò che dimenticano è che ci sono voluti circa dieci anni all’ Google — che può contare su alcuni dei migliori ingegneri del pianeta — per arrivare a questo sistema estremamente fluido, super sicuro e semplicissimo da usare.
I clienti affermano inoltre che Google non ha mai dovuto fare i conti con una grande quantità di tecnologie obsolete. Esatto. Nessuno presso Google possiede un mainframe.
Tuttavia, se foste una compagnia assicurativa del Midwest, vi trovereste ad affrontare un ambiente IT aziendale piuttosto complesso, che comprende alcune tecnologie davvero obsolete.
La domanda è quindi la seguente: l’accesso zero-trust può funzionare in quel contesto? Dico che sarà difficile, ma la motivazione a farlo è ancora più forte, ancora più importante. Perché se non lo fanno, la piramide della complessità li seppellirà.
Che consiglio dà loro?
Questa materia è davvero difficile. Questo è il tema ricorrente che emerge con molti dei clienti che incontro. Ma, in definitiva, dovranno passare a questo modello. In caso contrario, è molto probabile che tutti i livelli informatici, con tutti i singoli metodi di autenticazione e accesso, smettano di funzionare correttamente.
È necessario che questi ambienti ad alto rischio vengano gestiti secondo un approccio moderno, basato sul modello “zero trust”. Non è fattibile avere una VPN da una parte e un’altra VPN dall’altra. Alla fine, la complessità vi ucciderebbe.
