Zero trust: perché il perimetro di rete non è più sufficiente e come ridisegnare la sicurezza della tua infrastruttura passo dopo passo

Per decenni la sicurezza informatica aziendale si è basata su un principio semplice: costruire un perimetro solido attorno alla rete, lasciare fuori gli intrusi e fidarsi di tutto ciò che si trovava all'interno. Firewall, VPN, DMZ — questi strumenti hanno rappresentato la prima e spesso unica linea di difesa per migliaia di aziende italiane.

Il problema è che questo modello è diventato obsoleto. La combinazione di lavoro da remoto, applicazioni SaaS, cloud ibrido e dispositivi mobili ha di fatto dissolto il perimetro tradizionale. Oggi, un dipendente che accede al gestionale aziendale da casa sua tramite un laptop personale non protetto rappresenta una superficie di attacco che nessun firewall perimetrale può coprire adeguatamente.

È in questo contesto che il modello zero trust — letteralmente "fiducia zero" — ha smesso di essere un concetto accademico per diventare un imperativo operativo.

Cosa significa davvero zero trust (e cosa non è)

Zero trust non è un prodotto. Non è un software che si installa o un servizio che si acquista. È un approccio architetturale basato su un principio fondamentale: nessun utente, dispositivo o sistema dovrebbe essere considerato affidabile per default, indipendentemente dalla sua posizione nella rete.

Il principio cardine è "never trust, always verify": ogni richiesta di accesso a una risorsa deve essere autenticata, autorizzata e validata in modo continuo, indipendentemente dal fatto che provenga dall'interno o dall'esterno della rete aziendale.

Questo si traduce in pratiche concrete:

• Verifica dell'identità forte (MFA, autenticazione adattiva)
• Accesso con privilegi minimi (least privilege)
• Segmentazione micro-perimetrale della rete
• Monitoraggio continuo del comportamento degli utenti e dei dispositivi
• Validazione dello stato di salute dei dispositivi prima dell'accesso

Perché le PMI italiane non possono più ignorarlo

Secondo i dati del Rapporto Clusit 2023, l'Italia è tra i paesi europei più colpiti da attacchi informatici, con una crescita degli incidenti gravi superiore al 60% negli ultimi due anni. Le PMI rappresentano il bersaglio preferito, spesso proprio perché dispongono di dati preziosi — brevetti, dati di clienti, informazioni finanziarie — ma non di difese adeguate.

La maggior parte degli attacchi riusciti non avviene perché un firewall è stato bucato frontalmente: avviene perché una credenziale è stata compromessa, un endpoint non aggiornato è stato sfruttato o un accesso eccessivamente permissivo ha consentito un movimento laterale all'interno della rete. Il zero trust risponde esattamente a queste vulnerabilità.

I pilastri tecnici di un'architettura zero trust

1. Identity and Access Management (IAM)

Il primo passo verso il zero trust è costruire un sistema di gestione delle identità robusto. Questo significa introdurre l'autenticazione a più fattori (MFA) per tutti gli accessi — non solo per gli amministratori — e adottare soluzioni di Single Sign-On (SSO) che centralizzino la gestione delle credenziali.

Strumenti come Microsoft Entra ID (già Azure AD), Okta o Google Workspace offrono funzionalità IAM mature anche per organizzazioni di dimensioni medie. L'obiettivo è avere un'unica fonte di verità per le identità digitali aziendali.

2. Gestione dei dispositivi (MDM/EDR)

In un'architettura zero trust, il dispositivo è parte integrante del processo di autenticazione. Prima di concedere l'accesso a una risorsa, il sistema deve verificare che il dispositivo sia conforme alle policy aziendali: sistema operativo aggiornato, antivirus attivo, crittografia del disco abilitata.

Soluzioni di Mobile Device Management (MDM) come Microsoft Intune o Jamf, combinate con agenti EDR (Endpoint Detection and Response), consentono di implementare questa verifica in modo automatizzato.

3. Micro-segmentazione della rete

La micro-segmentazione consiste nel dividere la rete aziendale in segmenti isolati, ciascuno con le proprie policy di accesso. Questo limita drasticamente la possibilità di movimento laterale in caso di compromissione: anche se un attaccante riesce ad accedere a un segmento, non può facilmente propagarsi agli altri.

Tecnologie come le Software-Defined Networks (SDN) e i firewall di nuova generazione con funzionalità di segmentazione granulare sono lo strumento principale per questa fase.

4. Monitoraggio continuo e analisi comportamentale

Il zero trust non è un sistema da configurare una volta e dimenticare. Richiede un monitoraggio continuo del comportamento di utenti e sistemi. Soluzioni SIEM (Security Information and Event Management) e UEBA (User and Entity Behavior Analytics) consentono di rilevare anomalie — accessi insoliti, trasferimenti di dati fuori orario, tentativi di escalation di privilegi — prima che si trasformino in incidenti.

Una roadmap realistica per le PMI

L'errore più comune nell'adozione del zero trust è cercare di implementarlo tutto in una volta. Questo approccio porta a progetti lunghi, costosi e spesso abbandonati a metà. Una strategia più efficace prevede una progressione per fasi:

Fase 1 — Visibilità (0-3 mesi): Mappare utenti, dispositivi, applicazioni e flussi di dati. Non si può proteggere ciò che non si conosce.

Fase 2 — Identità (3-6 mesi): Implementare MFA su tutti gli account, introdurre SSO e rivedere i privilegi assegnati seguendo il principio del least privilege.

Fase 3 — Dispositivi (6-9 mesi): Adottare una soluzione MDM, definire policy di conformità e integrare la verifica del dispositivo nel processo di autenticazione.

Fase 4 — Rete (9-18 mesi): Introdurre la micro-segmentazione, rivedere le policy di accesso alle applicazioni e valutare l'adozione di una soluzione ZTNA (Zero Trust Network Access) in sostituzione della VPN tradizionale.

Fase 5 — Monitoraggio continuo (in corso): Implementare strumenti di rilevamento anomalie e definire procedure di risposta agli incidenti.

Le sfide organizzative: il fattore umano

Oltre alle sfide tecniche, l'adozione del zero trust comporta un cambiamento culturale significativo. Gli utenti sono abituati a un accesso fluido e senza frizioni: l'introduzione di verifiche aggiuntive può generare resistenza se non accompagnata da una comunicazione adeguata.

È fondamentale coinvolgere il management sin dalle prime fasi, formare il personale sui nuovi processi e scegliere strumenti che bilancino sicurezza e usabilità. Un'autenticazione troppo invasiva porta gli utenti a cercare scorciatoie, vanificando l'investimento.

Conclusione: un percorso, non una destinazione

Il zero trust non è un traguardo da raggiungere, ma un percorso continuo di miglioramento della postura di sicurezza. Le aziende che lo adottano con una visione progressiva e pragmatica ottengono risultati concreti già nelle prime fasi, riducendo la superficie di attacco e aumentando la propria capacità di risposta agli incidenti.

In Net-Point supportiamo le imprese italiane nella progettazione e implementazione di architetture zero trust adatte alle loro dimensioni e al loro contesto operativo, integrando le soluzioni con l'infrastruttura esistente senza stravolgimenti improvvisi.