Implementazione di Connection Zero Trust in ambienti multi-cloud

Informazioni sul prodotto

Specifiche:

• Nome prodotto: Guida all'implementazione di Zero Trust in ambienti multicloud
• Partner: Connessione
• Focus: Cyber ​​resilience, modello di sicurezza Zero Trust
• Pubblico di destinazione: organizzazioni di tutte le dimensioni in tutti i settori

Domande frequenti

D: Quali sono i principali vantaggi dell'adozione di Zero Trust negli ambienti multicloud?

R: L'adozione di Zero Trust negli ambienti multicloud aiuta le organizzazioni a migliorare la propria sicurezza informatica, mitigare i rischi associati ai servizi cloud, migliorare la protezione dei dati e rafforzare la resilienza complessiva della sicurezza.

D: Come possono le organizzazioni misurare i propri progressi nel percorso Zero Trust?

R: Le organizzazioni possono misurare i propri progressi nel percorso Zero Trust valutando l'implementazione dell'accesso con privilegi minimi, della segmentazione della rete, dei meccanismi di autenticazione continua e delle capacità di monitoraggio e risposta.

Introduzione

La resilienza informatica unisce pianificazione della continuità aziendale, sicurezza informatica e resilienza operativa. L'obiettivo è essere in grado di mantenere le operazioni con tempi di inattività minimi o nulli anche se si verifica lo scenario peggiore, ovvero un attacco informatico devastante o un altro disastro.
Nel mondo odierno, la resilienza informatica dovrebbe essere tra gli obiettivi principali di ogni organizzazione. Su scala globale, la criminalità informatica costa alle sue vittime oltre 11 trilioni di dollari all'anno, una cifra che si prevede salirà a oltre 20 trilioni di dollari entro la fine del 2026.1 Le spese associate a violazioni dei dati, ransomware ed estorsioni continuano ad aumentare, crescendo in media di oltre il cinque percento all'anno dal 2020.2 Ma questi costi non sono sostenuti in modo uniforme da tutte le vittime. Alcune organizzazioni, come quelle in settori altamente regolamentati come l'assistenza sanitaria, registrano spese medie più elevate associate alle violazioni, mentre altre, come le organizzazioni con programmi di operazioni di sicurezza maturi che sfruttano l'automazione e l'intelligenza artificiale, tendono a riscontrare costi inferiori.
Il divario tra le vittime di reati informatici che subiscono perdite devastanti e quelle che subiscono solo impatti minori da un evento di violazione aumenterà man mano che gli autori delle minacce migliorano le loro capacità. Tecnologie emergenti come l'intelligenza artificiale generativa stanno rendendo possibile agli aggressori di lanciare attacchi meno sofisticati (come il phishing) su scala sempre maggiore. Sta anche diventando più facile creare compromissioni di posta elettronica aziendale (BEC) altamente personalizzate e campagni.
Per proteggere i propri ricavi e la propria reputazione, e assicurarsi di poter mantenere la fiducia dei propri clienti, le organizzazioni di tutte le dimensioni e di tutti i settori devono abbandonare i vecchi modi di concepire e implementare la difesa informatica.
Ed è proprio questo che affronta Zero Trust.

11 trilioni di dollari
costo annuale della criminalità informatica nel mondo1

Aumento del 58%
negli attacchi di phishing dal 2022 al 20233

Aumento del 108%
negli attacchi BEC (Business Email Compromise) nello stesso periodo4

1. Statista, Costo stimato della criminalità informatica nel mondo 2018-2029, luglio 2024.
2. IBM, rapporto 2023 sui costi di una violazione dei dati.
3. Zscaler, rapporto ThreatLabz sul phishing del 2024
4. Sicurezza anomala, rapporto sulle minacce e-mail del primo semestre del 1

Zero Trust: una nuova visione per la protezione degli ecosistemi tecnologici moderni

• Con sempre più organizzazioni che spostano parti fondamentali delle loro infrastrutture IT sul cloud, è essenziale adottare strategie di sicurezza informatica che siano adatte agli ambienti tecnologici odierni. Sono in genere complesse, distribuite e senza confini. In questo senso, sono radicalmente diverse dalle reti on-premise, con server e computer desktop protetti da un firewall perimetrale, che gli approcci di sicurezza legacy sono stati creati per proteggere.
• Zero Trust è stato inventato per colmare questa lacuna. Progettato per eliminare le vulnerabilità che si presentano quando gli utenti vengono considerati automaticamente attendibili per impostazione predefinita (ad esempio quando si trovano all'interno del perimetro di una rete legacy), Zero Trust è adatto per gli ambienti IT moderni, in cui gli utenti in un'ampia varietà di sedi accedono costantemente a dati e servizi sia all'interno che all'esterno della rete aziendale.
• Ma capire cosa serve per adottare Zero Trust non è sempre semplice. Né è facile capire come far progredire la maturità Zero Trust della tua organizzazione. Selezionare le giuste tecnologie da implementare richiede di farsi strada in un mare di affermazioni di fornitori concorrenti e, prima ancora di poterlo fare, devi trovare la strategia giusta.
• Per semplificare le cose, abbiamo messo insieme questa guida pratica. In essa, troverai un piano in cinque fasi per aiutare la tua organizzazione ad accelerare i suoi progressi nel percorso verso Zero Trust.
  

Che cosa è Zero Trust

Zero Trust è una strategia di sicurezza informatica basata sul principio fondamentale di "non fidarsi mai, verificare sempre". Il termine è entrato nell'uso comune quando gli esperti del settore hanno osservato un numero crescente di attacchi informatici in cui i perimetri di rete sono stati violati con successo. Nei primi anni 2000, la maggior parte delle reti aziendali aveva una "zona attendibile" interna protetta da firewall, un modello noto come approccio castello e fossato alla sicurezza informatica.
Con l'evoluzione degli ambienti IT e del panorama delle minacce, è diventato sempre più chiaro che quasi ogni aspetto di questo modello era imperfetto.

• I perimetri di rete semplicemente non possono essere protetti in modo sicuro al 100%.
  Per gli aggressori più determinati sarà sempre possibile trovare buchi o lacune.
• Ogni volta che un aggressore riesce ad accedere alla "zona attendibile", diventa molto facile per lui rubare dati, distribuire ransomware o causare danni in altro modo, perché non c'è nulla che possa impedire ulteriori movimenti.
• Poiché le organizzazioni adottano sempre più il cloud computing e consentono ai propri dipendenti di lavorare da remoto, il concetto di essere in rete diventa sempre meno rilevante per la loro sicurezza.
• Zero Trust è stato creato per affrontare queste sfide, fornendo un nuovo modello per la protezione dei dati e delle risorse basato sulla convalida continua che a un utente/dispositivo debba essere concesso l'accesso prima di potersi connettere a qualsiasi servizio o risorsa.
  

Zero Trust sta diventando uno standard intersettoriale

Zero Trust è stato ampiamente adottato da organizzazioni in molti settori verticali diversi. Secondo un sondaggio recente, quasi il 70% dei leader tecnologici è in procinto di implementare policy Zero Trust all'interno delle proprie aziende.5 Ci sono stati anche sforzi di vasta portata per adottare Zero Trust nel settore pubblico. L'ordine esecutivo del 2021 sul miglioramento della sicurezza informatica della nazione, ad esempio, ha chiesto al governo federale e alle organizzazioni nei settori delle infrastrutture critiche di migliorare la loro maturità Zero Trust.6 Sia il National Institute of Standards and Technologies (NIST) che la Cybersecurity and Infrastructure Security Agency (CISA) hanno pubblicato definizioni dettagliate di Zero Trust, insieme a una guida completa su come ottenerla.

Zero Trust: definizioni ufficiali

Istituto nazionale per gli standard e le tecnologie (NIST):
Zero Trust (ZT) è il termine per un set in evoluzione di paradigmi di sicurezza informatica che spostano le difese da perimetri statici basati sulla rete per concentrarsi su utenti, asset e risorse. Un'architettura Zero Trust (ZTA) utilizza i principi Zero Trust
per pianificare infrastrutture e flussi di lavoro industriali e aziendali. Zero Trust presuppone che non vi sia alcuna fiducia implicita concessa alle risorse o agli account utente basata esclusivamente sulla loro posizione fisica o di rete (ad esempio, reti locali rispetto a Internet) o sulla proprietà delle risorse (aziendali o personali). L'autenticazione e l'autorizzazione (sia del soggetto che del dispositivo) sono funzioni discrete eseguite prima che venga stabilita una sessione a una risorsa aziendale. Zero Trust è una risposta alle tendenze delle reti aziendali che includono utenti remoti, porta il tuo dispositivo (BYOD) e risorse basate su cloud che non si trovano all'interno di un confine di rete di proprietà aziendale. Zero Trust si concentra sulla protezione delle risorse (risorse, servizi, flussi di lavoro, account di rete, ecc.), non dei segmenti di rete, poiché la posizione di rete non è più considerata il componente principale della postura di sicurezza della risorsa. 7

Agenzia per la sicurezza informatica e delle infrastrutture (CISA):
Zero Trust fornisce una raccolta di concetti e idee progettati per ridurre al minimo l'incertezza nell'applicazione di decisioni di accesso accurate e con il minimo privilegio per richiesta nei sistemi e nei servizi informativi di fronte a una rete viewed come compromessa. Zero Trust Architecture (ZTA) è il piano di sicurezza informatica di un'azienda che utilizza concetti Zero Trust e comprende relazioni tra componenti, pianificazione del flusso di lavoro e policy di accesso. Pertanto, un'azienda Zero Trust è l'infrastruttura di rete (fisica e virtuale) e le policy operative in atto per un'azienda come prodotto di un piano ZTA.8

Fare progressi nel tuo percorso Zero Trust

• Zero Trust è ampiamente accettato come uno standard di sicurezza a cui le organizzazioni dovrebbero tendere. È anche, come chiariscono le definizioni di cui sopra, un concetto complesso.
• La maggior parte delle organizzazioni con programmi di sicurezza consolidati avrà già implementato almeno alcuni controlli progettati per proteggere la propria rete aziendale interna (ad esempio, firewall fisici). Per queste organizzazioni, la sfida è quella di allontanarsi dal modello legacy (e dai modi di pensare che lo accompagnano) verso l'adozione di Zero Trust, gradualmente, pur rimanendo nei limiti del budget e continuando a migliorare la visibilità, il controllo e la capacità di rispondere alle minacce.
• Potrebbe non essere facile, ma è possibile con la giusta strategia.

Fase 1: iniziare comprendendo i framework Zero Trust.

• La definizione di Zero Trust del NIST la descrive come un'architettura, ovvero un modo per pianificare e implementare un'infrastruttura di sicurezza aziendale e un set di flussi di lavoro sulla base dei principi Zero Trust. L'attenzione è rivolta alla protezione di singole risorse, non di reti o porzioni (segmenti) di reti.
• NIST SP 800-207 include anche una roadmap per l'adozione di Zero Trust. La pubblicazione descrive i blocchi di costruzione necessari per creare una Zero Trust Architecture (ZTA). Qui possono essere utilizzati diversi strumenti, soluzioni e/o processi, purché svolgano il ruolo giusto all'interno della progettazione dell'architettura.
• Dal punto di vista del NIST, l'obiettivo di Zero Trust è impedire l'accesso non autorizzato alle risorse, rendendo al contempo l'applicazione del controllo degli accessi il più granulare possibile.

Ci sono due aree chiave su cui concentrarsi:

1. Meccanismi per prendere decisioni su quali utenti o flussi di traffico hanno accesso alle risorse
2. Meccanismi per far rispettare tali decisioni di accesso

Esistono diversi modi per implementare un'architettura Zero Trust. Questi includono:

1. Approccio basato sulla governance dell'identità
2. Approccio basato sulla microsegmentazione in cui singole risorse o piccoli gruppi di risorse sono isolati su un segmento di rete protetto da una soluzione di sicurezza del gateway
3. Approccio basato sul perimetro definito dal software in cui una soluzione di rete come la rete WAN definita dal software (SD-WAN), il servizio di accesso sicuro (SASE) o il servizio di sicurezza (SSE) configura l'intera rete in modo da limitare l'accesso alle risorse in conformità con i principi ZT
   Il modello di maturità Zero Trust di CISA si basa su concetti simili. Sottolinea l'applicazione di controlli di sicurezza a grana fine che regolano l'accesso degli utenti a sistemi, applicazioni, dati e asset e la creazione di tali controlli tenendo a mente le identità, il contesto e le esigenze di accesso ai dati degli utenti.
   Questo approccio è complicato. Secondo CISA, il percorso verso Zero Trust è un processo incrementale che potrebbe richiedere anni per essere implementato.
   Il modello CISA comprende cinque pilastri. Si possono fare progressi in ciascuna di queste aree per supportare il progresso dell'organizzazione verso Zero Trust.

Zero Trust rappresenta il passaggio da un modello incentrato sulla posizione a un approccio incentrato su identità, contesto e dati, con controlli di sicurezza dettagliati tra utenti, sistemi, applicazioni, dati e risorse che cambiano nel tempo.
—CISA, modello di maturità Zero Trust, versione 2.0

I cinque pilastri del modello di maturità Zero Trust

Fase 2: comprendere cosa significa progredire verso la maturità.
Il modello di maturità Zero Trust della CISA descrive quattro stagTipi di progresso verso la maturità: tradizionale, iniziale, avanzato e ottimale.
È possibile progredire verso la maturità all'interno di ciascuno dei cinque pilastri (identità, dispositivi, reti, applicazioni e carichi di lavoro e dati). Ciò comporta in genere l'aggiunta di automazione, il miglioramento della visibilità tramite la raccolta di dati da utilizzare nell'analisi e il miglioramento della governance.

Avanzamento della maturità Zero Trust

• Diciamo, per esampche la tua organizzazione sta eseguendo un'applicazione cloud-native su AWS.
• Fare progressi nel pilastro "identità" potrebbe includere il passaggio dal provisioning e deprovisioning dell'accesso manuale per questa app (tradizionale) all'avvio dell'automazione dell'applicazione delle policy relative all'identità (iniziale). Per migliorare la maturità Zero Trust, potresti applicare controlli di gestione del ciclo di vita automatizzati che siano coerenti in questa applicazione e in una serie di altre che stai eseguendo (avanzato). L'ottimizzazione della maturità Zero Trust potrebbe includere l'automazione completa della gestione del ciclo di vita dell'identità just-in-time, l'aggiunta di un'applicazione dinamica delle policy con reporting automatizzato e la raccolta di dati di telemetria che consentano una visibilità completa su questa applicazione e su tutte le altre nel tuo ambiente.
• Più matura è la tua organizzazione, più sarai in grado di correlare gli eventi tra i cinque pilastri. In questo modo, i team di sicurezza possono capire come sono correlati nel ciclo di vita dell'attacco, che potrebbe iniziare con un'identità compromessa su un singolo dispositivo e poi spostarsi attraverso la rete per prendere di mira i dati sensibili nella tua app cloud-native in esecuzione su AWS.

Roadmap di Zero Trust

Fase 3: identificare la strategia di adozione o migrazione Zero Trust più adatta alla propria organizzazione.

A meno che non si stia costruendo una nuova architettura da zero, di solito ha più senso lavorare in modo incrementale. Ciò significa implementare i componenti dell'architettura Zero Trust uno alla volta, continuando a operare in un ambiente ibrido basato su perimetro/Zero Trust. Con questo approccio, si faranno progressi graduali nelle iniziative di modernizzazione in corso.

Passaggi da seguire in un approccio incrementale:

1. Inizia identificando le aree di maggiore rischio informatico e aziendale. Apporta prima le modifiche qui, per proteggere i tuoi asset di dati di maggior valore, e procedi in sequenza da lì.
2. Esamina attentamente tutti gli asset, gli utenti, i flussi di lavoro e gli scambi di dati all'interno della tua organizzazione. Ciò ti consentirà di mappare le risorse che devi proteggere. Una volta compreso come le persone utilizzano queste risorse, puoi creare le policy di cui avrai bisogno per proteggerle.
3. Stabilisci le priorità dei progetti in base al rischio e alle opportunità aziendali. Quale avrà il maggiore impatto sulla tua postura di sicurezza complessiva? Quale sarà il più facile da completare rapidamente? Quale sarà il meno dirompente per gli utenti finali? Porre domande come queste consentirà al tuo team di prendere decisioni strategiche.
   

Fase 4: Valutare le soluzioni tecnologiche per individuare quelle più adatte ai processi aziendali e all'attuale ecosistema IT.
Ciò richiederà introspezione e un'analisi di ciò che è disponibile sul mercato.

Le domande da porre includono le seguenti:

• La nostra azienda consente l'uso di dispositivi di proprietà dei dipendenti? In tal caso, questa soluzione funzionerà con la tua attuale politica BYOD (Bring Your Own Device)?
• Questa soluzione funziona nel cloud pubblico o nei cloud in cui abbiamo costruito la nostra infrastruttura? Può anche gestire l'accesso alle app SaaS (se le stiamo utilizzando)? Può funzionare anche per le risorse on-premise (se le abbiamo)?
• Questa soluzione supporta la raccolta di log? Si integra con la piattaforma o la soluzione che utilizziamo per il processo decisionale di accesso?
• La soluzione supporta tutte le applicazioni, i servizi e i protocolli utilizzati nel nostro ambiente?
• La soluzione è adatta alle modalità di lavoro dei nostri dipendenti? Sarebbe necessaria una formazione aggiuntiva prima dell'implementazione?
  

Fase 5: implementare la distribuzione iniziale e monitorarne le prestazioni.

Una volta che sarai soddisfatto del successo del tuo progetto, potrai partire da qui e compiere i passaggi successivi verso la maturità di Zero Trust.

Zero Trust negli ambienti multi-cloud

• Per progettazione, Zero Trust è pensato per l'uso in ecosistemi IT moderni, che includono quasi sempre componenti da uno o più provider cloud. Zero Trust è una scelta naturale per ambienti multi-cloud. Detto questo, creare e applicare policy coerenti su diversi tipi di dispositivi, utenti e posizioni può essere impegnativo e affidarsi a più provider cloud aumenta la complessità e la diversità del tuo ambiente.
• A seconda del tuo settore verticale, degli obiettivi aziendali e dei requisiti di conformità, la strategia della tua organizzazione individuale sarà diversa da quella di tutti gli altri. È importante tenere conto di queste differenze quando selezioni soluzioni e sviluppi una strategia di implementazione.
• Costruire una solida architettura di identità multicloud è molto importante. I dispositivi dei singoli utenti devono essere in grado di connettersi alla rete interna, alle risorse cloud e (in molti casi) ad altre risorse remote. Una soluzione come SASE, SSE o SD-WAN può abilitare questa connettività supportando al contempo l'applicazione granulare delle policy. Una soluzione di controllo degli accessi alla rete multicloud (NAC) creata appositamente per applicare Zero Trust può rendere possibile un processo decisionale di autenticazione intelligente anche in ambienti molto diversi.

Non dimenticare le soluzioni fornite dai fornitori cloud.
I provider di cloud pubblico come AWS, Microsoft e Google offrono strumenti nativi che possono essere sfruttati per analizzare, migliorare e mantenere la tua posizione di sicurezza cloud. In molti casi, sfruttare queste soluzioni ha un buon senso commerciale. Possono essere sia convenienti che altamente capaci.

Il valore di lavorare con un partner di fiducia

Molte delle decisioni di progettazione architettonica che devono essere prese quando si implementa Zero Trust sono complesse. Il partner tecnologico giusto sarà esperto in tutti i prodotti, servizi e soluzioni tecnologici disponibili oggi sul mercato, quindi avrà un'idea precisa di quali siano i migliori per la tua attività.

Consiglio dell'esperto:

• Cercate un partner esperto nell'integrazione tra più cloud e piattaforme pubbliche.
• Il controllo dei costi può essere un problema negli ambienti multicloud: utilizzare soluzioni fornite dal fornitore può essere meno costoso, ma può rendere più difficile mantenere controlli coerenti su diverse piattaforme o infrastrutture. Individuare la strategia migliore potrebbe richiedere un'analisi costi-benefici e una profonda comprensione del tuo ambiente IT.
• Il partner giusto può aiutarti in questa decisione. Dovrebbe avere ampie partnership con più fornitori di soluzioni di sicurezza, così da poterti aiutare a vedere oltre le singole affermazioni dei fornitori per scoprire quali soluzioni sono davvero le più adatte alle tue esigenze. Potrebbero anche essere in grado di garantire vantaggitagprezzi personalizzati per tuo conto, poiché lavorano con più fornitori contemporaneamente.
• Cerca un fornitore che possa sostituire un impegno di consulenza una tantum, se necessario, ma che abbia anche l'esperienza per fornire servizi gestiti a lungo termine. In questo modo, puoi essere certo di non incontrare un eccessivo carico amministrativo e di poter ottenere il massimo valore dagli strumenti e dalle soluzioni che selezioni.
  

Incontra la connessione

• Per proteggere le organizzazioni dai crescenti rischi informatici, implementare un'architettura Zero Trust è di vitale importanza. Ma è anche complessa. Dalla comprensione dei framework Zero Trust alla scelta delle tecnologie, a
  L'elaborazione di una strategia di implementazione per far progredire la maturità di Zero Trust può rivelarsi un progetto a lungo termine con molte componenti in movimento.
• Collaborare con il servizio e la soluzione giusti può rendere il progresso verso Zero Trust più facile e più conveniente. Nel lungo termine, il tuo team può avere la certezza di mitigare alcuni dei rischi più grandi (e potenzialmente più costosi) che la tua azienda deve affrontare.
• Connection, una società Fortune 1000, placa la confusione dell'IT offrendo ai clienti soluzioni tecnologiche leader del settore per migliorare la crescita, aumentare la produttività e potenziare l'innovazione. Specialisti dedicati concentrati su un servizio eccezionale personalizzano le offerte su misura per le esigenze uniche del cliente. Connection offre competenza in più aree tecnologiche, offrendo soluzioni ai clienti in oltre 174 paesi.
• Grazie alle nostre partnership strategiche con aziende come Microsoft, AWS, HP, Intel, Cisco, Dell e VMware, i nostri clienti possono trovare facilmente le soluzioni di cui hanno bisogno per progredire nella maturità Zero Trust.
  

Come la connessione può aiutare

Connection è il tuo partner per l'implementazione di Zero Trust. Dall'hardware e software alla consulenza e alle soluzioni personalizzate, siamo leader in aree critiche per il successo con ambienti Zero Trust e multicloud.

Esplora le nostre risorse
Infrastruttura moderna
Servizi di sicurezza informatica

Contatta oggi stesso uno dei nostri esperti di Connection:

Contattaci
1.800.998.0067

©2024 PC Connection, Inc. Tutti i diritti riservati. Connection® e we solve IT® sono marchi registrati di PC Connection, Inc. o delle sue consociate. Tutti i copyright e i marchi registrati rimangono di proprietà dei rispettivi proprietari. 2879254-1224

IN PARTNERSHIP WITH

Grazie ai nostri duraturi rapporti con i clienti e alla competenza con le tecnologie Cisco, miglioriamo costantemente il modo in cui facciamo affari con Cisco. La nostra vasta gamma di conoscenze Cisco e servizi di consulenza può accelerare il tuo vantaggio competitivo, aiutarti ad aumentare la produzione e migliorare l'efficienza. Connection, insieme a Cisco, può guidarti nel tuo percorso per trasformare la tua attività nell'era digitale.

In qualità di Microsoft Solutions Partner, Connection offre prodotti, competenze tecniche, servizi e soluzioni per aiutare la tua azienda ad adattarsi al panorama tecnologico in continua evoluzione. Promuoviamo l'innovazione per la tua organizzazione tramite la distribuzione e l'implementazione di soluzioni hardware, software e cloud Microsoft, sfruttando la nostra vasta conoscenza e le nostre comprovate capacità per garantire che tu ottenga il massimo dai tuoi investimenti Microsoft.

Documenti / Risorse

Implementazione di Connection Zero Trust in ambienti multi-cloud [pdf] Guida utente Implementazione Zero Trust in ambienti multi-cloud, Implementazione Trust in ambienti multi-cloud, Implementazione in ambienti multi-cloud, in ambienti multi-cloud, ambienti cloud, ambienti

Riferimenti

• Manuale d'uso