Le aziende continuano a confrontarsi con il ritmo dell'evoluzione tecnologica, il panorama in perenne evoluzione delle minacce informatiche, le nuove modalità di lavoro e l'importanza di esperienze utente ottimali. In questo contesto, le soluzioni Zero Trust restano un punto di riferimento: tuttavia a fronte delle numerose nuove offerte in tal senso e a un mercato sempre più saturo, sta rapidamente emergendo una guerra di requisiti.

Sebbene la concorrenza di mercato spesso contribuisca a favorire un'evoluzione più rapida, con conseguente maggiore scelta per il cliente, i responsabili aziendali devono essere in grado di distinguere tra le soluzioni singole e le offerte di piattaforme basate su cloud altamente integrate che supportano ulteriori sforzi di consolidamento, al fine di selezionare la soluzione più vantaggiosa per la propria azienda.

A meno che non affrontino l’approccio Zero Trust con una visione più ampia dei modi in cui la soluzione può contribuire alla crescita complessiva, questa guerra di requisiti ha il potenziale di dividere il mercato, i team e l'azienda nel suo complesso.

Marc Lueck, CISO EMEA, Zscaler

Zero Trust: chi ne ha il controllo?

Come primo passo, le aziende devono definire chi ha la responsabilità di un progetto Zero Trust. Si tratta di una considerazione importante in termini di requisiti e di un elemento che gioca un ruolo chiave per sbloccare il valore del progetto a livello aziendale. Se un team che si occupa di networking sta cercando di implementare una strategia Zero Trust, è probabile che la sua visione e la relativa implementazione siano fortemente orientate verso un approccio Zero Trust basato sulla rete ovvero una soluzione singola che offre solo ciò che serve per supportare le esigenze di networking dell'azienda in quel momento. Allo stesso modo, se un CISO implementa un approccio Zero Trust, solitamente si concentra sull'accesso logico, sul principio del minimo privilegio e sulla limitazione dell'accesso alle risorse sicure. Di conseguenza, cercherà una soluzione che possa tranquillizzare l'azienda e semplificare il flusso delle transazioni.

Concettualmente, la definizione più vicina a quella ufficiale del termine Zero Trust è quella di Gartner, che lo definisce come quei "prodotti e servizi che creano un confine di accesso logico basato sull'identità e sul contesto che comprende un utente aziendale e un'applicazione o un insieme di applicazioni ospitate internamente". Tuttavia, si tratta di una definizione molto limitata.

Basato sulla definizione del NIST (National Institute of Standard and Technology), l'approccio di Zscaler prevede che l’approccio Zero Trust possa essere visto come un ciclo in sette fasi: definire un'identità (una persona, una macchina o un dispositivo), definire il contesto di tale identità (ora del giorno, ruolo e responsabilità dell'identità), confermare la destinazione, valutare il rischio, prevenire la violazione e la perdita di dati e applicare le policy su base ciclica. Una volta che questo processo viene visto come una filosofia di accesso piuttosto che come qualcosa di più limitato, è possibile sbloccare il vero potenziale dello Zero Trust, soddisfacendo le esigenze aziendali che vanno al di là di obiettivi immediati.

Concentrarsi più sulla piattaforma che sul prodotto

Nonostante l'espressione "Zero Trust" sia in gran parte non regolamentata, quando viene applicata correttamente la soluzione impone un cambiamento fondamentale al modo in cui vengono forniti la sicurezza e l'accesso. L’approccio Zero Trust può essere affrontato in modo limitato in uno qualsiasi dei modi precedentemente menzionati – per soddisfare le esigenze in termini di rete, sicurezza o del CIO - e fornire alle aziende una soluzione adeguata, ma che non le farà certamente crescere. Inoltre, un approccio di questo tipo creerà una lotta tra i fornitori che cercano di vendere le loro soluzioni e i team dei clienti che cercano di individuare l'opzione più adatta a loro.

Al contrario, le aziende di successo solleciteranno le opinioni di un pubblico più ampio, prendendo in considerazione l'intera serie di esigenze e obiettivi aziendali e garantendo che la soluzione implementata soddisfi questi requisiti estesi. Vinceranno le aziende che sceglieranno le funzionalità più ampie ed integrate: più ampia è la piattaforma, più semplice sarà il futuro. Al contrario, quanto più ristretta è la soluzione implementata - tipicamente soluzioni singole isolate - tanto più difficile sarà sviluppare e adattarne l’utilizzo.

In definitiva, i fronti di battaglia sia per i clienti che per i fornitori stanno cambiando, con un'enfasi particolare sullo spazio dei fornitori. Se coloro che vendono soluzioni Zero Trust riconoscono i numerosi vantaggi derivanti dal passaggio da un approccio basato su soluzioni singole isolate, in grado di supportare solo casi d'uso molto specifici, a uno basato su piattaforme, entrambe le parti vinceranno. La focalizzazione sulla piattaforma rispetto al prodotto accelererà anche lo sviluppo di prodotti che soddisferanno meglio la visione più ampia di Zero Trust.

Stimolare la crescita aziendale

L’approccio Zero Trust ha già portato enormi cambiamenti nei settori della cybersecurity e della trasformazione aziendale. Una cosa è certa: chiunque si assuma di garantire che un’azienda stia implementando nel modo più efficiente tale approccio dovrebbe essere allineato alla matrice e in grado di stimolare il cambiamento incorporando l’approccio Zero Trust nelle reti, nella sicurezza, nell'accesso alle applicazioni e negli utenti dell'azienda. La soluzione Zero Trust deve essere riconosciuta per la sua capacità onnicomprensiva di soddisfare gli obiettivi aziendali e guidare la crescita complessiva, piuttosto che le esigenze frammentate di team isolati. Nel 2024, questa guerra di requisiti probabilmente si ripresenterà, ma coloro che riconosceranno il vero potere dell’approccio Zero Trust ne usciranno vincitori.

Marc Lueck è CISO EMEA di Zscaler