L’adozione del cloud e delle applicazioni SaaS, il lavoro ibrido e la crescente distribuzione delle infrastrutture stanno trasformando le fondamenta della cybersecurity aziendale. Utenti, dispositivi e workload non operano più esclusivamente all’interno di una rete aziendale chiaramente definita. Di conseguenza, i tradizionali modelli di sicurezza incentrati sul perimetro non sono più sufficienti.
Una moderna strategia di sicurezza aziendale deve rispondere a questo cambiamento, estendendo protezione, visibilità e policy di sicurezza ovunque operino gli utenti.
In questo articolo analizzeremo perché il tradizionale perimetro aziendale si sta evolvendo, in che modo i principi Zero Trust possono supportare la sicurezza degli ambienti distribuiti, perché l’accesso sicuro a Internet sta diventando un controllo strategico e quale ruolo può svolgere la DNS Security nella protezione degli utenti al di fuori della rete aziendale. Infine, illustreremo cinque principi per costruire policy di sicurezza capaci di adattarsi a un’organizzazione sempre più distribuita.
Che cos’è una strategia di sicurezza aziendale?
Una strategia di sicurezza aziendale è un approccio coordinato alla protezione di utenti, dati, applicazioni, dispositivi e infrastrutture di un’organizzazione dai rischi informatici, garantendo al contempo la continuità e la crescita del business.
Questa strategia collega le decisioni in materia di cybersecurity alle priorità aziendali più ampie, come la continuità operativa, la conformità normativa, l’efficienza dei processi e la trasformazione digitale.
Una strategia di sicurezza aziendale matura va quindi oltre l’implementazione di singole tecnologie. Coordina diversi livelli di protezione, tra cui:
- Identity and Access Management (IAM);
- sicurezza degli endpoint;
- sicurezza di rete;
- sicurezza cloud;
- prevenzione delle minacce;
- protezione dei dati;
- policy di sicurezza e controlli degli accessi;
- monitoraggio e rilevamento delle minacce;
- risposta agli incidenti.
L’obiettivo non è semplicemente aumentare il numero dei controlli di sicurezza, ma creare un’architettura in cui tali controlli operino in modo coordinato per ridurre il rischio informatico, permettendo al contempo agli utenti e ai processi aziendali di lavorare con efficienza.
Questa esigenza diventa ancora più importante con la progressiva distribuzione delle infrastrutture aziendali.
Le applicazioni migrano nel cloud. I dipendenti lavorano da remoto. Le filiali accedono direttamente alle piattaforme SaaS. I dispositivi mobili si collegano da reti che l’organizzazione non controlla.
Di conseguenza, diventa sempre più difficile sostenere il presupposto secondo cui le risorse aziendali operano principalmente all’interno di una rete considerata affidabile.
Perché il tradizionale perimetro di sicurezza non è più sufficiente
Per molti anni, le architetture di cybersecurity aziendale sono state costruite intorno a un concetto relativamente semplice: proteggere la rete aziendale.
Utenti, applicazioni e dati si trovavano prevalentemente all’interno dell’infrastruttura dell’organizzazione. Firewall, proxy e altre tecnologie di sicurezza controllavano il traffico in entrata e in uscita da quell’ambiente.
La distinzione era chiara:
all’interno della rete = ambiente affidabile
all’esterno della rete = ambiente non affidabile
Le aziende di oggi operano in uno scenario molto diverso.
Una singola organizzazione può gestire contemporaneamente:
- sede centrale e filiali;
- workload in cloud pubblici e privati;
- applicazioni SaaS;
- dipendenti da remoto;
- dispositivi mobili;
- accessi di terze parti e partner;
- dispositivi IoT;
- ambienti BYOD.
Questa transizione può essere sintetizzata nel modo seguente:
IT incentrato sull’ufficio → Azienda ibrida → Azienda distribuita
Le implicazioni per la sicurezza sono significative.
Un utente che lavora da remoto può accedere a Microsoft 365, a una piattaforma CRM, a servizi di cloud storage e a diverse applicazioni web senza che il suo traffico attraversi mai la tradizionale rete aziendale.
Allo stesso tempo, le organizzazioni devono mantenere policy di sicurezza coerenti senza creare inutili ostacoli per i dipendenti o rallentare i processi aziendali.
Il perimetro aziendale, quindi, non è semplicemente scomparso: è diventato distribuito. Come osserva ICT Security Magazine, il lavoro da remoto, gli ambienti cloud e le interazioni con la supply chain hanno esteso il perimetro aziendale oltre i confini fisici tradizionalmente protetti dal firewall.
Questo è uno dei cambiamenti fondamentali che una moderna strategia di sicurezza aziendale deve affrontare.
Protezione DNS di nuova generazione, interamente basata sul cloud e sull'intelligenza artificiale, facile da attivare.
Il nuovo perimetro di sicurezza aziendale è l’utente
Quando utenti e applicazioni possono operare praticamente ovunque, la posizione fisica all’interno della rete diventa soltanto uno degli elementi da considerare nelle decisioni di sicurezza.
Assumono un’importanza crescente l’identità dell’utente, lo stato di sicurezza del dispositivo, la risorsa richiesta, il contesto e il livello di rischio.
Questo è uno dei principi alla base della sicurezza Zero Trust.
Invece di considerare implicitamente affidabile un utente o un dispositivo perché si trova all’interno di una determinata rete, l’approccio Zero Trust richiede che ogni decisione di accesso venga valutata sulla base delle policy applicabili e delle informazioni contestuali disponibili.
Il passaggio da un modello tradizionale a una sicurezza aziendale distribuita modifica il modo in cui le organizzazioni definiscono e applicano la protezione.
Nel modello tradizionale, la sicurezza si concentra principalmente sulla protezione della rete aziendale e la posizione all’interno della rete svolge spesso un ruolo importante nel determinare l’affidabilità di una connessione. Utenti e risorse sono prevalentemente centralizzati, mentre applicazioni e infrastrutture operano soprattutto on-premise, all’interno di un perimetro aziendale chiaramente definito.
Un’azienda distribuita richiede un approccio diverso. La sicurezza deve concentrarsi sempre di più sulla protezione di utenti, dispositivi e risorse, indipendentemente dalla loro posizione. L’attendibilità di una connessione non può dipendere esclusivamente dal fatto che provenga dall’interno della rete aziendale, ma deve essere valutata continuamente sulla base dell’identità, dello stato del dispositivo, del contesto e del rischio.
Anche l’infrastruttura si è evoluta: da un modello incentrato sull’ufficio si è passati a un ambiente che combina sistemi on-premise, servizi cloud e applicazioni SaaS, mentre i dipendenti operano da sedi aziendali, filiali, reti domestiche e ambienti mobili.
Il risultato è un cambiamento sostanziale: dalla protezione di un perimetro di rete definito all’applicazione di controlli di sicurezza coerenti in un’azienda distribuita.
Questa evoluzione è particolarmente evidente negli ambienti di lavoro da remoto. Come sottolinea Dark Reading, i team di sicurezza aziendale dispongono di una minore visibilità sul livello di sicurezza dei dispositivi e delle reti utilizzati dai lavoratori remoti. Per questo motivo, la verifica dell’identità e del dispositivo assume un’importanza sempre maggiore.
Ciò non elimina la sicurezza di rete, ma ne modifica il ruolo all’interno di una più ampia strategia di Defense-in-Depth.
Il NIST integra i controlli di sicurezza della rete nelle architetture Zero Trust e Defense-in-Depth, confermando la necessità di adottare più livelli di sicurezza complementari.
Per un’azienda, quindi, cambia la domanda strategica.
Non è più semplicemente:
Come possiamo proteggere la nostra rete?
La domanda diventa:
Come possiamo mantenere una protezione coerente quando utenti, dispositivi e workload operano su reti e ambienti differenti?
Questa distinzione ha conseguenze importanti sul modo in cui viene protetto l’accesso a Internet.
Perché l’accesso a Internet diventa un controllo di sicurezza strategico
Indipendentemente dal luogo in cui lavora un dipendente, un’attività rimane costante: l’accesso alle risorse Internet.
Gli utenti risolvono domini e si collegano ad applicazioni SaaS, siti web, API, piattaforme cloud e servizi esterni. I threat actor sfruttano la stessa infrastruttura attraverso siti di phishing, piattaforme di distribuzione di malware, domini malevoli e infrastrutture di Command-and-Control (C2).
Se gli utenti possono connettersi da qualsiasi luogo, dove è possibile applicare una protezione coerente?
Una possibile risposta consiste nell’applicare i controlli di sicurezza direttamente ai meccanismi utilizzati dagli utenti per accedere alle risorse Internet.
Per questo motivo, l’accesso sicuro a Internet diventa una componente importante di una strategia di sicurezza aziendale distribuita.
L’obiettivo non è semplicemente monitorare il traffico dopo che una connessione potenzialmente malevola è già stata stabilita. Ove possibile, le organizzazioni dovrebbero impedire la connessione a destinazioni note o sospette prima che possa trasformarsi in un incidente di sicurezza più ampio.
La guida CISA #StopRansomware, ad esempio, raccomanda l’utilizzo del Protective DNS come misura di sicurezza contro minacce quali malware, ransomware, phishing e siti web malevoli.
Ciò porta uno dei protocolli fondamentali di Internet direttamente all’interno della strategia di sicurezza aziendale: il Domain Name System.
DNS Security: un livello di protezione che segue l’utente
Il Domain Name System (DNS) traduce i nomi di dominio negli indirizzi IP necessari per le comunicazioni di rete. Poiché la risoluzione DNS avviene generalmente prima che venga stabilita una connessione verso una destinazione Internet, può diventare anche un controllo di sicurezza strategico.
Il NIST identifica il DNS come componente integrante dell’architettura di rete aziendale e descrive il Protective DNS come un ulteriore livello di sicurezza all’interno degli approcci Zero Trust e Defense-in-Depth.
Il principio alla base della DNS Security e del filtraggio DNS può essere sintetizzato in questo modo:
Utente → Richiesta DNS → Policy di sicurezza → Analisi del dominio → Autorizzazione/Blocco
Se il dominio richiesto viene identificato come malevolo o non conforme alle policy dell’organizzazione, l’accesso può essere bloccato durante la risoluzione DNS, prima che venga stabilita la connessione.
Questa capacità assume un valore particolare nelle aziende distribuite. Attraverso un’adeguata architettura cloud ed endpoint, le policy di DNS Security possono essere estese oltre la sede centrale, proteggendo utenti da remoto, dispositivi in mobilità e filiali e riducendo la dipendenza dalla rete aziendale fisica.
La DNS Security come componente della strategia Zero Trust
La DNS Security non sostituisce il modello Zero Trust, né tecnologie come EDR, firewall, IAM o altri controlli di sicurezza.
Fornisce, invece, un ulteriore livello di applicazione delle policy e di visibilità.
I controlli dell’identità aiutano a determinare chi sta richiedendo l’accesso. La sicurezza degli endpoint valuta quale dispositivo è coinvolto. La DNS Security può contribuire a verificare verso quale destinazione il dispositivo sta tentando di connettersi.
Per questo motivo, il NIST identifica il DNS come un potenziale Policy Enforcement Point (PEP) all’interno di un’architettura di sicurezza più ampia.
Le moderne soluzioni di filtraggio DNS possono combinare policy di sicurezza, Threat Intelligence e analisi automatizzata dei domini per impedire le connessioni verso destinazioni malevole. FlashStart, ad esempio, utilizza intelligenza artificiale e machine learning per identificare e classificare i domini sospetti, estendendo la protezione del filtraggio DNS agli ambienti distribuiti.
Il valore strategico non risiede quindi nel filtraggio DNS considerato isolatamente, ma nella possibilità di aggiungere un livello di sicurezza preventivo capace di seguire gli utenti oltre il tradizionale perimetro aziendale.
Protezione DNS di nuova generazione, interamente basata sul cloud e sull'intelligenza artificiale, facile da attivare.
Come costruire policy di sicurezza per un’azienda distribuita
La tecnologia, da sola, non è sufficiente per creare una strategia di sicurezza aziendale efficace.
Le organizzazioni devono dotarsi anche di policy di sicurezza capaci di adattarsi a un modello operativo distribuito.
Un framework pratico può essere organizzato intorno a cinque principi.
1. Identificare
Il primo passo consiste nel comprendere che cosa deve essere protetto.
È necessario mappare utenti, endpoint, dispositivi mobili, workload, applicazioni SaaS, filiali e ambienti cloud.
L’obiettivo non è soltanto sapere dove si trovano le risorse, ma comprendere in che modo accedono alle risorse aziendali e a Internet.
2. Definire
Le policy di sicurezza devono riflettere i ruoli aziendali, i profili di rischio e le esigenze operative.
Utenti differenti possono richiedere livelli diversi di accesso a Internet, disponibilità delle applicazioni e restrizioni sui contenuti.
Un reparto finanziario, un amministratore IT e un collaboratore esterno, ad esempio, non presentano necessariamente lo stesso profilo di rischio né le stesse esigenze di accesso.
Le policy devono riflettere tali differenze senza generare una complessità non necessaria.
3. Proteggere
I controlli devono operare nei luoghi in cui si trovano effettivamente gli utenti e le risorse.
Ciò richiede di integrare sicurezza delle identità, degli endpoint, della rete, del cloud e dell’accesso a Internet, anziché affidarsi a un unico perimetro difensivo.
Per quanto riguarda l’accesso a Internet, la DNS Security può fornire un ulteriore livello di protezione preventiva, applicando le policy durante la risoluzione dei domini.
4. Monitorare
Un ambiente distribuito richiede visibilità.
I team di sicurezza hanno bisogno di dati telemetrici che consentano di individuare attività sospette, comprendere le modalità di accesso e analizzare gli eventi di sicurezza nei diversi ambienti.
I dati DNS possono contribuire a questa visibilità, perché le richieste di dominio possono rivelare tentativi di connessione verso destinazioni malevole o anomale.
L’obiettivo non è raccogliere più dati fine a sé stesso, ma trasformare la telemetria di sicurezza in informazioni utilizzabili per migliorare la gestione del rischio e la risposta agli incidenti.
5. Adattare
Le infrastrutture aziendali cambiano continuamente.
Vengono adottate nuove applicazioni SaaS. I dipendenti cambiano ruolo. I dispositivi si collegano da nuove posizioni. Emergono nuove minacce e nuovi domini malevoli.
Le policy di sicurezza, quindi, non possono rimanere statiche.
Una strategia di sicurezza aziendale efficace richiede un adattamento continuo basato sulla Threat Intelligence, sulle esigenze del business e sui cambiamenti della superficie di attacco dell’organizzazione.
Il risultato è un’architettura di sicurezza capace di supportare la trasformazione digitale senza costringere l’azienda a rientrare all’interno di un perimetro che non rappresenta più il modo in cui le persone lavorano realmente.
Costruire una strategia di sicurezza aziendale oltre il perimetro
Il perimetro aziendale non è scomparso.
È diventato distribuito.
Gli utenti lavorano da remoto. Le applicazioni operano su più cloud. I processi aziendali dipendono dalle piattaforme SaaS. I dispositivi si spostano continuamente tra reti aziendali ed esterne.
La cybersecurity aziendale deve evolversi di conseguenza.
Una moderna strategia di sicurezza aziendale deve quindi combinare controlli relativi a identità, endpoint, rete, cloud e accesso a Internet, così da garantire protezione, visibilità e applicazione coerente delle policy indipendentemente dalla posizione dell’utente.
La DNS Security svolge un ruolo specifico all’interno di questa architettura. Poiché il DNS rappresenta un punto di controllo comune nelle comunicazioni Internet, può fornire un ulteriore livello di protezione preventiva, capace di identificare e bloccare l’accesso a destinazioni malevole prima che la comunicazione venga stabilita.
Per le organizzazioni distribuite, ciò significa estendere le policy di sicurezza oltre la rete aziendale fisica. FlashStart applica questo principio a livello DNS, combinando policy di filtraggio, Threat Intelligence, intelligenza artificiale e machine learning per proteggere l’accesso a Internet negli ambienti aziendali e da remoto.
L’obiettivo non è ricostruire il tradizionale perimetro intorno a ogni utente.
L’obiettivo è creare una strategia di sicurezza che non dipenda più dal perimetro.
Protezione DNS di nuova generazione, interamente basata sul cloud e sull'intelligenza artificiale, facile da attivare.
