La fiducia non è più implicita: Zero Trust e SASE alla prova dell’impresa distribuita

Il perimetro aziendale si è frammentato in identità, dispositivi, applicazioni e workload distribuiti. Per governare questa complessità non basta aggiungere nuovi strumenti: occorre ripensare il modo in cui la fiducia viene concessa, verificata e revocata. Zero Trust definisce il modello; il SASE ne rende possibile l’applicazione su scala.

La sicurezza si decide oltre il perimetro

Il perimetro aziendale non è semplicemente scomparso: si è frammentato in migliaia di identità, applicazioni, dispositivi e workload che chiedono accesso alle risorse in ogni momento. Cloud pubblici, piattaforme SaaS, lavoro ibrido e infrastrutture distribuite hanno trasformato la rete da confine da difendere a tessuto connettivo da governare.

La crescita riguarda inoltre identità umane e non umane. API, account di servizio, workload cloud, token e agenti basati sull’intelligenza artificiale operano ormai accanto agli utenti, spesso con privilegi elevati e cicli di vita molto più rapidi. Ciò che non viene censito, autenticato e monitorato può diventare un punto cieco.

Il Microsoft Digital Defense Report 2024 indica che i clienti dell’azienda affrontano ogni giorno oltre 600 milioni di attacchi riconducibili a cybercriminali e attori statali, dal ransomware al phishing fino agli attacchi contro le identità. In questo scenario, la domanda decisiva non è più chi si trovi dentro o fuori dalla rete, ma chi possa accedere a una risorsa, in quale momento, a quali condizioni e con quale livello di privilegio.

Zero Trust e SASE: dal principio all’esecuzione

Zero Trust parte da un assunto essenziale: nessun utente, dispositivo, applicazione o workload è affidabile per impostazione predefinita. Ogni richiesta deve essere valutata sulla base dell’identità, del contesto, dello stato di sicurezza del dispositivo, della sensibilità della risorsa e del rischio rilevato. La fiducia, quindi, non viene concessa una volta per tutte: è limitata, verificabile e revocabile.

Il SASE, Secure Access Service Edge, porta questi principi in un’architettura capace di integrare connettività e sicurezza erogate dal cloud. Zero Trust e SASE non sono strategie concorrenti: il primo definisce i criteri con cui concedere e mantenere la fiducia; il secondo offre un modello per applicarli in modo coerente a utenti, sedi, cloud e applicazioni.

La direzione del mercato conferma questa convergenza. Gartner prevede per il SASE un tasso annuo composto di crescita del 26% su cinque anni, fino a circa 28,5 miliardi di dollari nel 2028. Ma la crescita degli investimenti non deve essere confusa con la maturità: adottare una piattaforma non equivale, da solo, a costruire un modello Zero Trust.

Quattro priorità per una roadmap misurabile

Zero Trust non è un progetto una tantum, ma un percorso di maturità. Per evitare che resti una dichiarazione di principio, la roadmap deve collegare ogni iniziativa a risultati osservabili.

1. Mettere tutte le identità al centro

La gestione deve comprendere persone, account privilegiati, workload, API, token, account di servizio e agenti autonomi. Le priorità sono autenticazione forte, accessi condizionali, privilegio minimo e gestione just-in-time. Tra gli indicatori utili: percentuale di utenti coperti da MFA resistente al phishing, quota di account privilegiati permanenti convertiti in accessi temporanei e copertura delle identità non umane censite e monitorate.

2. Verificare continuamente utenti e dispositivi

L’identità dichiarata non basta. Stato del dispositivo, aggiornamento delle patch, localizzazione, comportamento e livello di rischio devono concorrere alla decisione. La roadmap può misurare la percentuale di dispositivi conformi prima dell’accesso, il tempo medio di revoca delle credenziali e il numero di accessi ad alto rischio bloccati o sottoposti a verifica aggiuntiva.

3. Proteggere dati e applicazioni ovunque si trovino

La sicurezza deve seguire le risorse dal data center al cloud e fino alle applicazioni SaaS. Segmentazione, protezione dei dati e accesso per singola applicazione riducono l’esposizione e limitano i movimenti laterali. Un indicatore concreto è la percentuale di applicazioni pubblicate tramite ZTNA rispetto alla VPN tradizionale, insieme alla copertura delle policy sui dati sensibili.

4. Unificare visibilità, telemetria e risposta

Segnali provenienti da identità, endpoint, rete, cloud e applicazioni devono alimentare decisioni coerenti. La qualità del controllo si misura anche nella capacità di rilevare e contenere un incidente: tempo medio di rilevamento, tempo medio di risposta, riduzione dei falsi positivi e percentuale di eventi correlati automaticamente sono KPI più significativi del semplice numero di tecnologie implementate.

L’IA amplia la superficie delle identità

L’intelligenza artificiale accelera la cybersicurezza su entrambi i fronti. Gli attaccanti possono automatizzare ricognizione, phishing e tecniche di elusione; le organizzazioni, al tempo stesso, introducono assistenti e agenti capaci di accedere a dati, applicazioni e processi aziendali. Il tema non riguarda quindi soltanto l’uso sicuro degli strumenti di IA, ma il governo delle nuove identità macchina che essi generano.

Ogni agente dovrebbe avere un proprietario, uno scopo definito, privilegi minimi, credenziali protette e un ciclo di vita controllato. Senza queste condizioni, la velocità dell’automazione rischia di superare la capacità di controllo. Zero Trust offre un criterio utile: nessuna azione è autorizzata soltanto perché proviene da un sistema interno o da uno strumento approvato.

Compliance e resilienza: coerenza, non automatismi

NIS2 e DORA non impongono esplicitamente l’adozione di Zero Trust. Richiedono però misure di gestione del rischio, controllo degli accessi, monitoraggio, resilienza operativa e gestione delle terze parti che sono coerenti con i suoi principi. Una roadmap ben costruita può quindi sostenere gli obiettivi di conformità, ma non rappresenta una scorciatoia: tecnologie e policy devono essere accompagnate da governance, responsabilità, test e capacità di risposta.

La conformità dovrebbe essere considerata una soglia minima, non il punto di arrivo. L’obiettivo è rendere l’organizzazione capace di prevenire l’accesso improprio, limitare l’impatto di una compromissione e ripristinare rapidamente i servizi critici.

Il valore di una roadmap costruita sull’esistente

L’esperienza maturata da Exclusive Networks lavorando con vendor specializzati e partner sul territorio mostra che le roadmap più efficaci non partono dalla sostituzione indiscriminata delle tecnologie già presenti. Partono dalla visibilità: identificano gli asset critici, misurano le lacune nei controlli e stabiliscono priorità compatibili con la maturità, il profilo di rischio e gli obiettivi dell’organizzazione.

Il valore dell’ecosistema emerge proprio nella fase di esecuzione. Vendor, distributore e partner possono contribuire a integrare competenze, architetture e servizi, trasformando principi generali in progetti sostenibili e progressivi. La prima fase dovrebbe produrre una baseline condivisa; le successive, risultati verificabili.

Un punto di partenza concreto comprende cinque azioni: mappare identità, dispositivi, applicazioni e dati critici; valutare la maturità dei controlli di accesso; ridurre i privilegi permanenti; migliorare la correlazione della telemetria; definire una roadmap pluriennale con responsabilità, scadenze e KPI.

La misura del successo

Zero Trust non è un prodotto da acquistare né una destinazione definitiva. È un modello operativo che evolve con l’impresa, le minacce e la tecnologia. Per questo il suo successo non si misura dal numero di soluzioni introdotte, ma dalla capacità di prendere decisioni di accesso migliori, ridurre l’esposizione e contenere più rapidamente gli incidenti.

Il SASE può rendere questo modello applicabile su scala, ma la tecnologia da sola non basta. Servono priorità condivise, responsabilità chiare e un ecosistema capace di accompagnare l’organizzazione lungo l’intero percorso. La vera maturità inizia quando la fiducia smette di essere un presupposto e diventa una decisione continuamente verificata.