Zero Trust Network Access (ZTNA)

Cos’è Zero Trust Network Access (ZTNA)?

• Base zero trust: ZTNA si basa sul principio del modello zero trust, questo significa che nessun utente o sistema è considerato affidabile per impostazione predefinita, indipendentemente da dove o come si connette. Ogni richiesta di accesso deve essere completamente autenticata, autorizzata e crittografata prima di concedere l’accesso.
• Accesso orientato alle applicazioni: a differenza degli approcci tradizionali che consentono di accedere alla rete, ZTNA garantisce che l’accesso venga fornito solo ad applicazioni specifiche. Questo avviene attraverso connessioni solo in uscita che riducono la superficie di attacco ed evitano di esporre la rete aziendale a Internet.
• Accesso con privilegi minimi: ZTNA applica il principio del privilegio minimo fornendo agli utenti il livello minimo di accesso necessario per svolgere in modo efficace la propria mansione. Questo avviene attraverso policy di accesso granulari, applicate in modo coerente e globale in tutta l’organizzazione, indipendentemente dalla posizione dell’utente.
• Cloud-native per velocità e scalabilità: per garantire un accesso rapido e affidabile, ZTNA sfrutta l’infrastruttura cloud. Questo consente di ottenere la scalabilità richiesta per soddisfare le diverse esigenze di larghezza di banda e garantire che gli utenti possano collegarsi immediatamente alle applicazioni di cui hanno bisogno senza compromettere la sicurezza.

Lo ZTNA crea una connessione sicura e crittografata tra il dispositivo dell'utente e l'applicazione o il servizio privato a cui deve accedere. Di solito prevede quanto segue.

• Autenticazione: l'utente fornisce le credenziali e la sua identità viene verificata tramite autenticazione a più fattori (MFA) o provider di identità (IdP).
• Convalida del dispositivo: viene valutata la compliance alle policy di sicurezza del dispositivo (ad esempio, versione del sistema operativo, stato dell'antivirus, ecc.).
• Applicazione delle policy: una volta autenticato, l'accesso viene concesso in base alle policy zero trust predefinite che tengono conto del ruolo dell'utente, della sicurezza del dispositivo, della posizione e di altri fattori contestuali.
• Accesso specifico all'applicazione: lo ZTNA garantisce che gli utenti vedano e accedano solo alle applicazioni per cui sono autorizzati, senza visibilità o accesso al resto della rete.

L’implementazione di ZTNA varia in base al fornitore, ma molti affermano che la best practice per la sua implementazione sia un programma graduale che inizia con la fase di preparazione e termina con l’operatività. 

• Fase 1 – Pianificazione e preparazione: analizza le applicazioni private e le popolazioni di utenti, individua i casi d'uso iniziali ad alto valore, come la migrazione di applicazioni note a ZTNA e la sostituzione della VPN. Successivamente, definisci gli input delle policy di accesso, come identità, dispositivo e sensibilità dell'applicazione.
• Fase 2 – Configurazione e abilitazione: implementa il piano di controllo/livello delle policy di ZTNA, integra l'identità (IdP) e configura ZTNA in componenti SSE gestibili con un approccio strutturato, che includa policy e registrazione/visibilità. 
• Fase 3 – Implementazione e transizione: integra il primo set di applicazioni e utenti, migra i flussi di lavoro da un accesso di rete di tipo VPN a un accesso ad applicazioni specifiche e convalida i risultati relativi all'esperienza dell'utente finale e all'accesso.
• Fase 4 – Individuazione, configurazione, iterazione: espandi la copertura in modo iterativo e individua ulteriori applicazioni/flussi, applica le lezioni apprese e continua a restringere l'accesso con privilegi minimi durante la fase di espansione. 
• Fase 5 – Adozione: standardizza i processi (ciclo di vita delle policy, runbook di onboarding, monitoraggio, hook di risposta agli incidenti), in modo tale che ZTNA diventi la "normale modalità di accesso", non un progetto speciale.

• Sicurezza avanzata: lo ZTNA opera in base al principio di"non fidarsi mai e di verificare sempre", che riduce significativamente il rischio di accessi non autorizzati. Applicando rigorosi controlli di verifica dell'identità e di accesso contestuale, ZTNA garantisce che gli utenti e i dispositivi siano costantemente autenticati e autorizzati prima di accedere a qualsiasi risorsa. In questo modo si riducono al minimo le possibilità di spostamenti laterali all'interno della rete, anche se un aggressore ottiene l'accesso iniziale.
• Superficie di attacco ridotta: uno dei punti di forza principali di ZTNA è la sua capacità di rendere le applicazioni e i servizi invisibili agli utenti non autorizzati. Nascondendo le risorse interne dietro livelli di autenticazione ed esponendole solo alle identità verificate, ZTNA limita in modo significativo i potenziali punti di ingresso per gli aggressori. Questo approccio "dark cloud" garantisce che, anche se un sistema viene preso di mira, rimanga inaccessibile senza le credenziali e il contesto corretti.
• Esperienza utente migliorata: a differenza delle VPN tradizionali che spesso richiedono connessioni manuali e possono rallentare le prestazioni, ZTNA offre un'esperienza più efficiente e trasparente. Gli utenti possono accedere in modo sicuro alle applicazioni da qualsiasi luogo o dispositivo, senza dover ricorrere a client VPN complessi. Questo si traduce in tempi di accesso più rapidi, meno interruzioni e un flusso di lavoro più intuitivo, aspetti particolarmente vantaggiosi per gli ambienti di lavoro da remoto e ibridi.
• Scalabilità: lo ZTNA è progettato per supportare ambienti IT dinamici e distribuiti. Se la tua organizzazione sta espandendo il suo modello cloud, supportando una forza lavoro da remoto in crescita o integrando fornitori di terzi, con ZTNA puoi scalare facilmente. La sua architettura cloud-native consente una distribuzione facile e una gestione in più ambienti, riducendo la complessità dei modelli tradizionali di protezione della rete.

• Alternativa alla VPN per il lavoro da qualsiasi luogo: usa la tecnologia ZTNA per sostituire le VPN di accesso remoto normalmente utilizzate per connettere gli utenti a una rete, garantendo un’esperienza più veloce e sicura.
• Accesso dei dipendenti in ufficio: non fidarti in modo intrinseco degli utenti on-premise e sfrutta i broker zero trust in hosting nel cloud pubblico o quelli privati distribuiti all’interno del tuo ambiente per un accesso con privilegi minimi e una segmentazione più semplice, un’esperienza utente più rapida e una compliance più facile.
• Protezione dell’accesso di terzi: sfrutta l’accesso agentless per consentire a partner, fornitori e clienti dell’ecosistema aziendale di accedere in modo sicuro ai dati aziendali critici, senza concedere l’accesso all’intera rete.
• Accelerazione dell’integrazione dell’IT durante fusioni e acquisizioni o cessioni: lo ZTNA consente di accelerare ciascun processo, che normalmente richiede da 9 a 14 mesi, a pochi giorni o settimane, evitando la necessità di consolidare (o suddividere) le reti, di gestire la NAT per gli indirizzi IP sovrapposti o di creare un’infrastruttura VDI.
• Alternativa VDI: evita i costi elevati, i problemi di scalabilità e la latenza della VDI tradizionale sostituendo gli ambienti virtuali complessi con ZTNA. Lo ZTNA garantisce un accesso remoto sicuro e senza interruzioni tramite connessioni dirette e basate su policy alle applicazioni, in base all'identità dell'utente, al comportamento del dispositivo e al contesto.