Il NCSC pubblica indicazioni per costruire la ZTNA basandosi sui principi Zero Trust

Il National Cyber Security Centre del Regno Unito ha pubblicato nuove indicazioni destinate alle organizzazioni che utilizzano la Zero Trust Network Access (ZTNA) nell’ambito di strategie Zero Trust più ampie. Le raccomandazioni si concentrano su come progettare sistemi di accesso che non si limitino a ricreare i precedenti modelli di fiducia basati sulla rete utilizzando strumenti più recenti.

La ZTNA viene spesso adottata per modernizzare il modo in cui gli utenti accedono alle applicazioni interne e ai servizi cloud. Tuttavia, il NCSC afferma che alcune implementazioni fanno ancora eccessivo affidamento sulla fiducia basata sulla posizione, lasciando potenzialmente aperti percorsi di accesso troppo ampi anche quando la tecnologia appare più avanzata. Le nuove indicazioni intendono aiutare i team a evitare questo problema.

Cosa comprendono le indicazioni

La pubblicazione spiega come la ZTNA si inserisca nell’architettura Zero Trust e in cosa differisca dai tradizionali approcci a “giardino recintato”. Inoltre, definisce le basi che le organizzazioni dovrebbero predisporre prima dell’implementazione, insieme ai requisiti di progettazione che dovrebbero orientarla.

• un’architettura di riferimento per accedere ad applicazioni private e piattaforme software-as-a-service
• esempi di comuni anti-pattern che indeboliscono le implementazioni ZTNA
• indicazioni su come allineare le decisioni tecniche alle esigenze e ai rischi dell’organizzazione

Il NCSC sottolinea che il materiale non è una checklist né un framework di conformità. È invece pensato per supportare decisioni architetturali che tengano conto degli utenti, dei sistemi, dell’esposizione alle minacce e dei vincoli operativi di un’organizzazione.

Chi dovrebbe utilizzarle

Le indicazioni sono rivolte principalmente ad architetti, professionisti della sicurezza e responsabili delle decisioni tecniche incaricati dell’architettura degli accessi. Possono essere utili alle organizzazioni che introducono la ZTNA per la prima volta, riducono la dipendenza dai perimetri di rete legacy o esaminano le implementazioni esistenti per verificare se offrano i benefici di sicurezza attesi.

L’agenzia raccomanda di leggere prima le sezioni introduttive, per poi passare ai prerequisiti e ai requisiti di progettazione. Afferma che la sezione finale sugli errori comuni è particolarmente importante, perché molte implementazioni falliscono non a causa dell’assenza di funzionalità, ma perché i vecchi presupposti sulla fiducia vengono trasferiti nei nuovi sistemi.

Secondo il NCSC, la ZTNA dovrebbe essere considerata una componente di un approccio Zero Trust più ampio, non una soluzione di sicurezza autonoma.