Con l’insorgere della pandemia di COVID-19 e la conseguente improvvisa necessità di supportare il “work from anywhere”, è apparso subito evidente come le VPN tradizionali non fossero all’altezza del compito e che l’approccio migliore per gestire e proteggere gli utenti senza una sede di lavoro fissa fosse quello di avviare una strategia Zero Trust.

Nonostante tale modello esista da oltre un decennio, è via via diventato oggetto di maggiore attenzione perché le reti di oggi sono più distribuite e devono essere in grado di supportare una forza lavoro ibrida che lavora da qualsiasi luogo. Secondo lo Zero Trust, qualsiasi entità che tenti di connettersi alla rete viene considerata come una potenziale minaccia ed ogni utente deve essere verificato prima di ottenere il permesso di accedere alle risorse.

Ad aprile, Fortinet ha commissionato un sondaggio che ha coinvolto 570 leader del settore IT e della sicurezza provenienti da 31 Paesi diversi, coprendo quasi tutti i settori, compreso quello pubblico. Ne è risultato il 2023 State of Zero Trust Report, che offre una panoramica dei progressi che i team IT stanno compiendo nell’implementazione delle loro strategie Zero Trust, evidenziando alcune delle sfide che hanno affrontato nel tentativo di proteggere gli ambienti di rete in rapida evoluzione ed espansione.

La buona notizia è che, dall’ultima ricerca del 2021, il numero di intervistati che ha dichiarato di aver implementato soluzioni Zero Trust è aumentato in modo sostanziale. Le soluzioni implementate includono secure web gateway (SWG) al 75%, cloud access security broker (CASB) al 72%, controllo dell’accesso alla rete (NAC) al 70%, zero-trust network access (ZTNA) al 67%, next-generation firewall (NGFW) al 63% e rilevamento e risposta degli endpoint (EDR) al 62%.

Sebbene l’implementazione dell’autenticazione a più fattori (MFA) sia solo al 52%, anch’essa è aumentata notevolmente rispetto al 23% del 2021. L’MFA è parte integrante di qualsiasi strategia zero-trust in quanto è fondamentale per prevenire l’accesso non autorizzato alle applicazioni e ad altre risorse.

Attenzione alle complessità

L’indagine ha rivelato che le aziende stanno affrontando alcune sfide piuttosto serie nell’implementazione delle loro strategie Zero Trust. Lo evidenzia il fatto che, anche se le aziende ad oggi hanno implementato un maggior numero di prodotti Zero Trust, le statistiche relative all’implementazione sono invece calate. Si pensi che, mentre nel 2021 il 40% degli intervistati ha indicato la propria strategia Zero Trust come completamente implementata, nel 2023 solo il 28% ha dichiarato di avere una soluzione di questo tipo completa. Il 66% degli intervistati ha dichiarato di essere in fase di implementazione, rispetto al 54% dello studio precedente.

Questi numeri indicano che forse far funzionare il modello Zero Trust sia un po’ più difficile del previsto. È possibile che molte organizzazioni che pensavano di aver completamente implementato una soluzione di questo tipo stiano ora riconsiderando tale valutazione, e probabilmente alcune sfide sono diventate evidenti solo quando sono state implementate diverse soluzioni. Fare in modo che singole soluzioni possano funzionare insieme è notoriamente difficile e la risoluzione dei problemi può consumare notevoli risorse IT.

Per quanto riguarda i problemi specifici, quasi un terzo (31%) delle organizzazioni ha indicato i problemi di latenza come una sfida significativa e quasi un quarto (22%) lamenta l’eccessiva dipendenza dalle VPN tradizionali. Risulta chiaro come l’implementazione di una soluzione a bassa latenza sia fondamentale per il successo di un’implementazione ZTNA.

Un altro dato interessante è il fatto che il 16% delle organizzazioni e il 24% delle aziende più piccole lamentano la mancanza di informazioni sufficienti per selezionare una soluzione Zero Trust. Il 24% degli intervistati ha menzionato la carenza di fornitori qualificati in grado di fornire una soluzione completa, motivo per cui ha dovuto implementare diverse soluzioni in autonomia.

Molte organizzazioni hanno rilevato come l’implementazione di soluzioni di più fornitori abbia creato nuovi problemi, quali ad esempio lacune di sicurezza inaspettate e costi operativi elevati. Secondo l’indagine, il 90% delle organizzazioni considera il consolidamento dei fornitori e delle soluzioni estremamente o molto importante. Anche l’interoperabilità dei prodotti è considerata molto o estremamente importante dall’88% degli intervistati. Risulta chiaro come il consolidamento dei fornitori e dei prodotti e l’interoperabilità siano di fondamentale importanza per l’implementazione.

Lo Zero Trust, ovunque

Dal report emerge come, anche dopo la pandemia, molti utenti continuino a lavorare da remoto, con il 63% delle organizzazioni che dichiara di avere una forza lavoro ibrida con utenti che si spostano tra casa e ufficio. Questi risultati si uniscono a quelli dello studio 2023 Work from Anywhere che ha evidenziato come il 60% delle aziende continui a impiegare dipendenti che lavorano da casa e il 55% delle organizzazioni stia adottando una strategia di lavoro ibrida per i propri dipendenti.

Indipendentemente dal luogo in cui lavorano, gli utenti hanno bisogno di accedere alle applicazioni, che possono essere sia cloud che on-premise. L’89% degli intervistati dichiara che l’integrazione SASE con le proprie soluzioni on-premise è molto o estremamente importante, il che indica il valore delle soluzioni single-vendor (SASE) che forniscono funzionalità di rete e sicurezza convergenti a tutti gli utenti e i dispositivi che operano in sedi distribuite.

Ad oggi, la maggior parte delle organizzazioni ha ancora in essere una strategia ibrida per le applicazioni e i dati, e lo ZTNA deve funzionare indipendentemente dalla posizione delle applicazioni e degli utenti. Gli intervistati hanno indicato che le aree principali che una strategia ZTNA ibrida deve coprire includono le applicazioni web (81%), gli utenti on-premise (76%), gli utenti remoti (72%), le applicazioni on-premise (64%) e le applicazioni Software-as-a-Service (SaaS) (51%).

È importante notare che il 72% degli intervistati ha riferito di avere problemi anche con lo ZTNA solo cloud. Lo zero-trust dovrebbe essere ovunque e le organizzazioni hanno bisogno di una soluzione ZTNA universale che supporti le applicazioni in cloud e on-premise, con funzionalità e criteri coerenti tra le varie implementazioni e un modello di licenza per utente, in modo che le protezioni (e le licenze) possano spostarsi senza problemi quando gli utenti si muovono tra le loro abitazioni e gli uffici.

Le organizzazioni hanno bisogno di soluzioni progettate per coprire più ambienti e in grado di far convergere rete, sicurezza e accesso in un unico framework integrato che consenta una sicurezza proattiva, integrata e consapevole del contesto, in grado di adattarsi automaticamente a dove si trovano gli utenti, a quale dispositivo stanno utilizzando e a quali risorse stanno accedendo.

Peter Newton è Senior Director of Product Marketing, Fortinet