Quando è scoppiata la pandemia, PPG Industries, un produttore di vernici e rivestimenti industriali di 137 anni fa, era pronta a continuare le operazioni. Un decennio prima, quando il G8 Summit arrivò a Pittsburgh, i funzionari della città, citando problemi di sicurezza, chiesero alla società di far lavorare da casa i 12.000 dipendenti del suo ufficio in centro.
“Eravamo davvero nervosi per la nostra capacità di supportare tutte quelle persone che non potevano lavorare dall’ufficio”, afferma Dan Connelly, il dirigente responsabile delle attività di accesso remoto dell’azienda.
Questo ha fatto riflettere l’azienda: cosa farebbe se un altro evento improvviso costringesse a un passaggio ancora più grande al lavoro da casa? Come risultato di tale esercizio, l'azienda ha acquistato una capacità di accesso remoto sette volte superiore a quella necessaria all'epoca. E ha rafforzato le sue pratiche di sicurezza per limitare l’accesso alla rete alle persone che potevano dimostrare la loro identità e lo stato di salute del loro dispositivo, ogni volta che hanno effettuato l’accesso.
Quando il COVID-19 ha colpito, “eravamo in vantaggio e non abbiamo dovuto affrontare molti ostacoli”, afferma Connelly.
Ora, PPG si sta avvicinando a questo approccio alla sicurezza senza rischi. Il modello, noto come Zero Trust, sta rapidamente emergendo come best practice per la pandemia. Il suo obiettivo è quello di salvaguardare le reti di computer da intrusioni dannose trattando ogni dispositivo che tenta di accedere come una potenziale minaccia.
Con milioni di lavoratori remoti che accedono alle reti aziendali ogni giorno e con i team IT sopraffatti dalla quantità di traffico e dalla miriade di dispositivi sconosciuti, lo Zero Trust è improvvisamente diventato un problema pressante per i vertici aziendali.
“Nel mondo WFH di oggi, la fiducia zero è essenziale”, afferma John Pescatore, direttore delle tendenze di sicurezza emergenti presso il SANS Institute. È come indossare una maschera in pubblico. Non farlo comporta il rischio che tu possa morire o far morire qualcun altro. Più che mai, una cattiva igiene della sicurezza può essere disastrosa”.
Molti dirigenti aziendali e team IT hanno già ricevuto questo messaggio. Secondo un sondaggio settembre 2020 Deloitte, circa il 37% dei dirigenti delle organizzazioni con iniziative di sicurezza Zero Trust sta accelerando i propri sforzi. Tra le ragioni: il 60% degli intervistati da Enterprise Management Associates (EMA) ha anche dichiarato di aver visto un aumento del numero di problemi di sicurezza durante la pandemia.
Oggi, la possibilità di lavorare da remoto non è più un privilegio raro concesso a determinati dirigenti e dipendenti sul campo. Ora, praticamente tutti hanno bisogno di accesso remoto alla rete per lavorare. Secondo il sondaggio EMA, la percentuale di dipendenti che accedono principalmente al lavoro da remoto è raddoppiata dall’inizio della pandemia, raggiungendo il 62%. Due terzi delle aziende intervistate hanno dichiarato di aver consentito l’accesso alla rete aziendale a un numero maggiore di dispositivi di proprietà dei dipendenti.
Questo universo in espansione di dispositivi offre ai cattivi attori più bersagli potenzialmente vulnerabili. Dall’inizio della pandemia, il 63% degli esperti di sicurezza informatica intervistati dall’Enterprise Strategy Group ha segnalato un aumento dei tentativi di attacchi informatici. Storicamente, oltre il 90% di tutti gli attacchi riguarda il phishing, in cui i dipendenti fanno clic su un’e-mail scritta ad arte che consente al mittente di rubare le credenziali o peggio. Ma lavorare da casa insieme a coniugi, figli e animali domestici, a volte tramite reti Wi-Fi non sicure, aggrava il problema. “Possono accadere cose di ogni genere”, dice Gus Hunt, ex CTO della Central Intelligence Agency, “incluso il fatto che mio figlio scarichi un’applicazione non sicura sul mio PC”.
Creare un modello Zero Trust
Anche nelle migliori circostanze, creare un ambiente Zero Trust è difficile. Richiede una pianificazione anticipata da parte di un'ampia fascia di persone. Questi includono dirigenti di alto livello che capiscono cosa tollereranno i dipendenti e sviluppatori di software che sanno come scrivere codice che automatizzano tali informazioni manageriali in processi infallibili per assicurarsi che tutti seguano le regole di sicurezza, senza rallentare troppo il lavoro.
Affinché ciò accada, lo Zero Trust richiede anche alle aziende di prendere sul serio un’altra parola d’ordine: DevSecOps. Piuttosto che operare come team distinti con le proprie tradizioni e pratiche, questi sviluppatori devono lavorare continuamente con il personale IT che gestisce la rete e le applicazioni che vengono eseguite su di essa, e gli esperti di sicurezza che sanno come individuare e rispondere alle nuove minacce.
Anche se raggiungere la sicurezza Zero Trust è difficile, il concetto di base di come funziona è abbastanza semplice.
- Non fidatevi mai, verificate sempre: l'IT deve collaborare con tutte le linee di business per assicurarsi che ogni lavoratore e appaltatore sia adeguatamente conteggiato, incluso il livello di accesso che deve avere a quali parti dell'azienda e quali applicazioni. Solo allora la loro identità può essere autenticata, ogni volta che accedono. Senza autenticazione, nessuno ha accesso a una rete Zero Trust.
- Conosci i tuoi dispositivi: sicurezza Zero Trust significa identificare non solo chi sta cercando di accedere, ma anche su quale dispositivo. In base a questo modello, solo i dispositivi verificati in precedenza hanno accesso. Ma prima che ciò accada, il sistema deve confermare diverse cose: il dispositivo è configurato correttamente? È di proprietà dell’azienda o dei dipendenti? Se è quest'ultimo, ha il software di partizionamento giusto per proteggere l'attività lavorativa mantenendo privati i dati personali? Il sistema operativo e le applicazioni sono aggiornati? Hanno tutte le ultime patch di sicurezza? È in esecuzione applicazioni non autorizzate o è stato utilizzato per accedere a siti Web non autorizzati?
Sorprendentemente poche aziende prendono queste precauzioni, in particolare quelle che si affrettano ad adeguarsi al lavoro da casa dopo la pandemia. Più della metà dei dipendenti ora utilizza i propri laptop e PC personali per lavoro, ma solo il 39% ha ricevuto la tecnologia dai propri datori di lavoro per assicurarsi che siano adeguatamente protetti, secondo uno studio di IBM.
"È sempre necessario conoscere lo stato di ogni dispositivo, incluso ciò che è stato scaricato su di esso e chi è l'utente", afferma Hunt. “Solo allora si può creare un sistema in grado di prendere buone decisioni automatizzate su chi può fare cosa.”
- Agire: un’architettura Zero Trust non individua solo le potenziali minacce. Può rispondere, ad esempio, attivando un aggiornamento automatico del software, notificando a un addetto alla sicurezza un malware o mettendo in quarantena un sistema per tagliare il dispositivo dai dati sensibili.
Iniziare con una buona governance
Hunt afferma che il compito più difficile nell’implementazione di un modello Zero Trust è definire le policy su chi ottiene l’accesso, quando e perché. Questo primo passo, aggiunge, è quello che è più spesso gestito male. Questo perché le organizzazioni non impiegano abbastanza tempo per capire come i loro dipendenti utilizzano la tecnologia. Ad esempio, dice Hunt, se un utente accede da una posizione insolita o con un dispositivo sconosciuto, ciò non significa che l'utente sia una minaccia. Le regole sono solo necessarie per accogliere quel lavoratore.
“Se è davvero strano che Gus acceda da uno Starbucks la domenica mattina, forse il sistema dovrebbe farmi entrare, ma solo farmi compilare il mio cartellino e non darmi accesso al sistema delle risorse umane o ad altri dati sensibili”, dice Hunt a titolo di esempio.
[Leggi anche: Costruire un futuro Zero Trust]
In altre parole, il contesto è cruciale. Quindi, se un dispositivo ha un link a un sito web sconosciuto ma l’utente è verificato come CEO dell’azienda, è possibile impostare regole che gli consentano ancora di accedere al sistema CRM. Nel frattempo, un subappaltatore con poca storia aziendale potrebbe andare direttamente in quarantena.
La definizione di queste politiche dettagliate richiede una collaborazione maggiore di quanto le aziende si aspettino. In genere, per avviare il percorso Zero Trust, le aziende creano un consiglio di governance dei dati, ma troppo spesso non riescono ad assegnare le persone che sanno come lavorano i lavoratori. Ciò significa che oltre ai leader IT e di sviluppo software, è necessario includere i leader di linea di business che conoscono i loro team.
“Questa è la parte più difficile”, dice Hunt. “Le politiche e le questioni di governance devono essere pensate in anticipo. Non puoi semplicemente decidere che stai per fare zero trust e schiaffeggiarlo insieme. "
Rendere Zero Trust senza intoppi
Nonostante abbia lavorato sul problema per anni, anche Pittsburgh Plate Glass ha una lunga strada da percorrere, dice Connelly di PPG. In un certo senso, il suo dipartimento ha scelto la via più semplice consentendo solo l'accesso alla rete aziendale di computer portatili di tipo aziendale, preinstallati con software di sicurezza. Ciò significa che i dipendenti non possono utilizzare i propri PC, Mac o smartphone.
Ma in altri modi, non è stato abbastanza attento. Ad esempio, una volta che i dipendenti PPG accedono alla rete, hanno libero accesso alla maggior parte delle applicazioni e possono vedere la maggior parte dei dati. Un sistema Zero Trust perfezionato fornirebbe accesso solo a ciò che è approvato per l’uso.
In futuro, Connelly afferma che i dipendenti si aspettano di avere molte opzioni di dispositivi e le aziende devono mantenere un controllo più preciso su come, quando e dove vengono utilizzati.
“Non pensiamo che il desiderio delle persone di lavorare da casa stia andando via”, afferma Connelly, la cui azienda sta gradualmente passando dai propri data center a infrastrutture e servizi basati su cloud. “Mentre ci spostiamo verso il cloud, l’approccio Zero Trust sarà per noi una priorità assoluta”, afferma.
Data la complessità aggiuntiva di mantenere la sicurezza in un mondo WFH, le aziende dovranno prestare particolare attenzione a bilanciare la sicurezza e l’esperienza dei dipendenti. L’IT sta sconvolgendo il modo in cui le persone lavorano, creando troppe barriere? Proprio come un commensale potrebbe non voler andare in un ristorante che l'ha testata per il COVID-19 ogni volta che ha attraversato la porta, i lavoratori non vogliono passare attraverso troppi problemi di accesso o aspettare troppo a lungo per i controlli di stato prima di poter svolgere qualsiasi lavoro.
Se i problemi di sicurezza quotidiani del solo accesso diventano troppo onerosi, le aziende rischiano di dare ai dipendenti un motivo per pensare di saltare la nave o, peggio ancora, farli cercare scorciatoie che riaprano le vulnerabilità. "Quando le persone si sentono frustrate, cercano soluzioni alternative", afferma Hunt.
Tuttavia, le aziende e i lavoratori non possono più mettere in attesa in modo permanente la fiducia zero. “Non puoi semplicemente sperare che le violazioni non accadano a te. Questo non è il modo di vivere”, dice Pescatore, analista del SANS Institute. Zero trust può prevenire attacchi che possono rovinare l’intera azienda. Non può più essere considerato facoltativo”.
