Il modello Zero Trust (ZT) è un paradigma architetturale di sicurezza informatica formalizzato dal NIST (SP 800-207, 2020) che rifiuta il concetto tradizionale di “perimetro sicuro”. Nel modello perimetrale classico, ci si fida implicitamente di tutto ciò che si trova dentro la rete aziendale (LAN) e si diffida di tutto ciò che è fuori (Internet). Il problema è che il confine è collassato: cloud, lavoro remoto, dispositivi BYOD e attaccanti già presenti nella rete interna rendono il perimetro illusorio. Zero Trust risponde con tre principi fondamentali.
I tre principi fondamentali
Verifica esplicita: autentica e autorizza sempre, basandosi su tutti i dati disponibili — identità dell’utente, stato del dispositivo, posizione geografica, servizio richiesto, sensibilità dei dati, anomalie comportamentali. Non fidarsi dell’utente solo perché si trova nella rete aziendale o ha già effettuato il login una volta.
Minimo privilegio: ogni utente, servizio e dispositivo riceve solo i permessi strettamente necessari per la propria funzione, in modalità just-in-time (JIT) e just-enough-access (JEA). I permessi vengono concessi per il minimo tempo necessario e revocati automaticamente.
Assumi la violazione: progetta e opera i sistemi assumendo che gli attaccanti siano già dentro la rete. Segmenta, monitora, cifra tutto il traffico (anche interno), registra ogni azione. Riduci il raggio d’azione (blast radius) di una compromissione tramite micro-segmentazione.
Architettura tecnica
Zero Trust non è un prodotto ma un’architettura composta da più componenti integrati:
Identity-Aware Proxy (IAP): intercetta ogni richiesta di accesso alle applicazioni, verifica identità, stato del dispositivo e contesto, e applica politiche ABAC prima di concedere l’accesso. Sostituisce il tradizionale accesso VPN con un accesso granulare per applicazione.
Micro-segmentazione: invece di macro-segmenti di rete (VLAN) con regole perimetrali coarse, ogni workload (container, VM, processo) comunica solo con i workload esplicitamente autorizzati. Implementata con software-defined networking e policy a livello di workload identity.
Mutual TLS (mTLS): ogni comunicazione service-to-service è autenticata in entrambe le direzioni tramite certificati client e server, eliminando la fiducia implicita tra servizi nella stessa rete interna.
SIEM + UEBA: monitoraggio continuo del comportamento di utenti ed entità. Le anomalie rispetto al comportamento baseline (accessi da nuova geolocalizzazione, volume insolito di download, accessi fuori orario) generano alert o richiedono re-autenticazione adattiva.
Zero Trust Network Access (ZTNA)
Lo ZTNA è la realizzazione pratica di Zero Trust per l’accesso remoto, in sostituzione della VPN tradizionale. La VPN concede accesso a tutta la rete — un attaccante che compromette un client VPN si trova “dentro”. Lo ZTNA concede accesso solo alle applicazioni specifiche autorizzate per quell’utente e dispositivo, verificando ogni richiesta. I principali prodotti ZTNA sono Google BeyondCorp, Cloudflare Access, Zscaler ZPA, Palo Alto Prisma Access.