Maturità Zero Trust · Strategia e sicurezza dell’ambiente cloud
La vostra traiettoria Zero Trust, misurata per ambito e tradotta in un piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità Zero Trust · Strategia e sicurezza dell’ambiente cloud
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Architettura Zero Trust, NIST SP 800-207, integrata dai principi di sicurezza cloud (CSA Cloud Controls Matrix, ANSSI) avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
Gli accessi privilegiati agli ambienti cloud vengono concessi secondo il principio del privilegio minimo e per una durata limitata?
- N1
Diritti di amministrazione permanenti sono attribuiti ad account nominativi o condivisi, senza un inventario consolidato.
- N2
Gli account privilegiati sono identificati e documentati, ma i diritti restano permanenti e le revisioni sono irregolari.
- N3
I diritti sono attribuiti per ruolo, revisionati periodicamente, e l’elevazione dei privilegi viene richiesta e tracciata per le operazioni sensibili.
- N4
L’accesso privilegiato viene concesso just-in-time, per una durata limitata, con approvazione e logging sistematici su tutti gli ambienti.
- N5
I diritti sono derivati automaticamente dal contesto e dai ruoli, gli scostamenti vengono rilevati e corretti, e la politica viene rivista dopo ogni incidente o cambio di architettura.
Azione per passare da L2 a L3
Definire i ruoli di amministrazione per ambiente, sostituire le attribuzioni individuali permanenti con questi ruoli, e inserire la revisione degli account privilegiati nel comitato sicurezza trimestrale con un responsabile nominato per ambiente.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu ZERO TRUST.
Di cosa parla questo quadro di riferimento
Lo Zero Trust non è un prodotto ma un modello di architettura. Formalizzato dal NIST nella pubblicazione SP 800-207, stabilisce che la fiducia non si deduce dalla posizione di rete: ogni accesso a una risorsa è autenticato, autorizzato e valutato in continuo, a partire dall’identità, dallo stato del dispositivo e dal contesto della richiesta. Applicato a un ambiente cloud, questo modello comprende la gestione delle identità e dei privilegi, la segmentazione dei carichi di lavoro, la cifratura dei dati, la configurazione dei servizi gestiti e la supervisione degli accessi.
In pratica, il governo del tema è difficile perché attraversa più team. L’identità appartiene all’IT, la rete all’infrastruttura, le configurazioni cloud ai team di prodotto, la supervisione al SOC. Tre domande ricorrono sistematicamente. L’autenticazione a più fattori copre realmente tutti gli accessi privilegiati, compresi gli account di servizio e gli accessi di emergenza? La segmentazione esiste a livello dei carichi di lavoro, o si ferma al perimetro del VPC? Le decisioni di autorizzazione vengono rivalutate durante la sessione, o una sola volta al momento della connessione?
Vale la pena chiarire una confusione frequente: implementare un accesso di rete Zero Trust in sostituzione della VPN non costituisce un’architettura Zero Trust. La sostituzione della VPN riguarda l’accesso remoto, non tratta né i flussi interni tra servizi, né gli accessi degli amministratori alle console cloud, né le identità macchina, il cui numero supera spesso quello delle identità umane. Aggiungiamo il modello di responsabilità condivisa: il fornitore mette in sicurezza l’infrastruttura, la configurazione dei servizi e la gestione dei diritti restano a carico del cliente.
La diagnosi di maturità risponde a una domanda diversa da quella dell’audit di conformità. L’audit chiede se un requisito è soddisfatto, sì o no. La diagnosi colloca ogni ambito su una scala progressiva e indica l’azione precisa che fa passare al livello successivo. Questo è ciò che permette di sequenziare un programma di trasformazione Zero Trust su più esercizi, invece di constatare uno scostamento globale senza sapere da dove iniziare.
In Datamensio, il quadro di riferimento è pronto all’uso. Potete anche adattarlo al vostro contesto: l’IA regola gli ambiti, le domande e i livelli secondo il metodo CMMI, oppure costruisce una declinazione a partire dai vostri documenti di architettura e dalle vostre politiche di accesso.
Norma di riferimento: Architettura Zero Trust, NIST SP 800-207, integrata dai principi di sicurezza cloud (CSA Cloud Controls Matrix, ANSSI)
Gli ambiti valutati
Strategia e governance Zero Trust
Esistenza di un’architettura target documentata, perimetro delle risorse protette, ruoli e responsabilità tra sicurezza, infrastruttura e team di prodotto, traiettoria pluriennale e monitoraggio.
Identità e autenticazione
Repository di identità unificato, copertura dell’autenticazione a più fattori, resistenza al phishing dei fattori, gestione degli account di emergenza e delle identità macchina.
Gestione degli accessi e dei privilegi
Privilegio minimo, accesso just-in-time, revisioni dei diritti, elevazione tracciata, separazione dei ruoli di amministrazione degli ambienti cloud.
Sicurezza dei dispositivi e delle postazioni
Inventario dei dispositivi, valutazione del loro stato di conformità prima dell’accesso, gestione delle patch, considerazione dei dispositivi non gestiti e dei fornitori.
Segmentazione e sicurezza dei flussi
Micro-segmentazione dei carichi di lavoro, controllo dei flussi est-ovest, cifratura delle comunicazioni interne, autenticazione tra servizi.
Protezione dei dati
Classificazione, cifratura a riposo e in transito, gestione delle chiavi e dei secret, controllo delle condivisioni e degli export fuori dal perimetro controllato.
Configurazione e postura degli ambienti cloud
Quadri di configurazione, rilevamento delle deviazioni, infrastruttura descritta come codice, gestione delle esposizioni pubbliche, responsabilità condivisa con i fornitori.
Decisione di accesso e valutazione continua
Politica di autorizzazione centralizzata, segnali considerati nella decisione, rivalutazione durante la sessione, revoca effettiva degli accessi.
Supervisione, logging e rilevamento
Copertura dei log di accesso e API, correlazione nel SOC, casi d’uso di rilevamento specifici del cloud, tempi di gestione degli allarmi.
Miglioramento continuo e misurazione
Indicatori di copertura, penetration test ed esercizi mirati, lezioni apprese dopo incidenti, aggiornamento dell’architettura target.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
Lo Zero Trust è certificabile?
No. È un modello di architettura, descritto in particolare dal NIST nella pubblicazione SP 800-207, senza un ente di certificazione associato. La certificazione riguarda i sistemi di gestione come ISO 27001, di cui lo Zero Trust può costituire una scelta di architettura. La diagnosi misura la maturità delle vostre pratiche, non rilascia alcuna attestazione.
Che differenza c’è tra questa diagnosi e un audit di conformità?
L’audit verifica la presenza di un requisito e conclude con uno scostamento o una conformità. La diagnosi colloca ogni ambito su una scala di maturità e indica l’azione che fa passare al livello successivo. La diagnosi serve a costruire la roadmap, l’audit a convalidare uno stato.
Quanto tempo richiede la valutazione?
La versione breve si compila in circa trenta minuti da un responsabile sicurezza. La versione completa, in modalità collaborativa, si svolge generalmente in una o due settimane: la maggior parte del tempo è dedicata alla raccolta presso i team identità, infrastruttura e cloud.
Si può adattare il quadro di riferimento alla nostra architettura?
Sì. Le domande, i livelli e gli ambiti sono modificabili, e potete aggiungere i vostri propri ambiti, per esempio un ambiente industriale o un fornitore cloud specifico. L’IA genera una declinazione a partire dai vostri documenti di architettura e dalle vostre politiche di accesso.
Serve una competenza tecnica per rispondere?
Le domande riguardano le pratiche di gestione e controllo, non i parametri di un servizio specifico. Alcune richiedono il contributo di un architetto o di un amministratore cloud: la modalità collaborativa permette di assegnare queste domande alla persona giusta e di tracciare le risposte.
Come confrontare più entità o più ambienti?
Lo stesso quadro di riferimento può essere compilato da ogni business unit o ogni ambiente, e poi confrontato per ambito. Le roadmap trasversali consolidano i piani d’azione di più valutazioni per evitare di finanziare due volte lo stesso intervento.
Come si articola questa diagnosi con NIS2 o DORA?
Questi testi impongono requisiti di controllo degli accessi, logging e gestione dei terzi che si basano sugli stessi meccanismi. Le risultanze della diagnosi Zero Trust sono riutilizzabili, e la roadmap trasversale permette di incrociare i quadri di riferimento senza duplicare le azioni.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.