Zero Trust, oltre lo slogan: cosa dicono davvero NIST e CISA

La frase da cui parte tutto

Se si toglie il rumore commerciale, Zero Trust si riduce a una frase: nessuna fiducia implicita concessa in base alla posizione in rete. Per decenni le reti aziendali hanno funzionato al contrario, come un castello con un fossato: fuori dalle mura si è nemici, dentro si è amici. Chi entrava nel perimetro — con una VPN, con un cavo in ufficio — ereditava un livello di fiducia che poi raramente veniva rimesso in discussione. Zero Trust demolisce quel presupposto. Non conta dove sei; conta chi sei, con quale dispositivo e per accedere a cosa, verificato ogni volta.

Il documento di riferimento è la SP 800-207 del NIST, pubblicata nel 2020. La prima cosa che chiarisce è ciò che Zero Trust non è: non è un prodotto, non è una tecnologia da installare. È un insieme di principi guida per progettare l'architettura di una rete.

I principi del NIST

La SP 800-207 elenca i pilastri concettuali. Non serve impararli a memoria, ma è utile vederne la logica.

1. 01
   Ogni risorsa è protetta

   dati e servizi trattati come risorse da difendere singolarmente
2. 02
   Accesso per singola sessione

   concesso volta per volta, mai "una volta dentro, sempre dentro"
3. 03
   Politica dinamica

   la decisione pesa identità, dispositivo, comportamento, contesto

Il principio che tiene insieme gli altri è che ogni accesso a una risorsa è autenticato e autorizzato prima di essere concesso, per singola sessione, sulla base di una politica dinamica. "Dinamica" significa che la decisione non guarda solo alla password, ma allo stato del dispositivo, agli attributi dell'utente, al comportamento, al contesto. E che l'organizzazione misura e monitora di continuo l'integrità e la postura di sicurezza di tutti i suoi asset: la fiducia non è mai un assegno in bianco, è una valutazione che si aggiorna.

Sul piano dell'architettura, il NIST descrive tre componenti logici: un motore delle politiche che decide, un amministratore delle politiche che attua la decisione, e un punto di applicazione che la fa rispettare al confine con la risorsa. È lo schema che, sotto nomi commerciali diversi, sta dentro la maggior parte delle implementazioni.

I cinque pilastri della CISA

Se il NIST dà la teoria, la CISA offre la mappa per muoversi, con il suo Zero Trust Maturity Model (versione 2.0). Organizza il percorso in cinque pilastri e tre capacità trasversali.

I cinque pilastri — Identità, Dispositivi, Reti, Applicazioni e carichi di lavoro, Dati — sono le aree su cui si lavora; le tre capacità trasversali (visibilità e analisi, automazione e orchestrazione, governance) attraversano tutti i pilastri. E soprattutto la CISA riconosce che Zero Trust non si accende con un interruttore: definisce quattro stadi di maturità, da Tradizionale a Ottimale, perché è un percorso graduale, non un traguardo da raggiungere in un trimestre.

Da dove si comincia davvero

La conseguenza pratica più utile è che nessuno "compra" Zero Trust. Si comincia dai pilastri che rendono di più con lo sforzo minore, e quasi sempre è l'identità: autenticazione forte e resistente al phishing, principio del privilegio minimo — dare a ciascuno solo ciò che gli serve — e revisione degli accessi. Poi la postura dei dispositivi, la segmentazione della rete perché una compromissione non si propaghi, e la visibilità che permette di accorgersi di ciò che accade. Sono passi che hanno valore in sé, anche prima di chiamarli Zero Trust.

Val la pena ricordare cosa Zero Trust non promette: non è una difesa che rende inutili le altre, non elimina il rischio, non sostituisce backup, patch e formazione. È un modo di ridurre ciò che un attaccante ottiene quando — non "se" — un anello cede: se ogni accesso è verificato e limitato, un account rubato apre una porta, non l'intero edificio. È un approfondimento, non l'attacco del giorno; ma è il modello a cui le fonti ufficiali in testa alla pagina — la SP 800-207 del NIST e il maturity model della CISA — danno una forma concreta e verificabile.