Un dipendente accede alla posta aziendale dal proprio computer, con credenziali corrette. Un sistema di sicurezza tradizionale potrebbe considerarlo automaticamente affidabile. Ma cosa accade se la password è stata rubata, il dispositivo è infetto o l’accesso avviene da una rete insolita? Capire cosa significa zero trust parte da qui: non basta essere “dentro” una rete per essere considerati autorizzati.
Cosa significa zero trust
Zero trust, letteralmente “fiducia zero”, è un approccio alla sicurezza informatica basato su un’idea semplice: nessun utente, dispositivo, programma o connessione deve essere considerato affidabile in modo automatico.
Non significa sospettare indistintamente di chiunque, né bloccare ogni attività. Significa invece richiedere verifiche adeguate prima di concedere l’accesso a una risorsa, e ripeterle quando cambiano le condizioni. L’utente deve dimostrare chi è; il dispositivo deve rispettare alcuni requisiti; l’accesso deve essere limitato allo stretto necessario.
Nel modello tradizionale, la sicurezza è spesso immaginata come il perimetro di un edificio: una volta superato l’ingresso, ci si può muovere con relativa libertà. Lo zero trust ragiona in modo diverso. Ogni stanza, archivio o applicazione richiede una verifica separata, in base a chi sta entrando, da quale dispositivo, per fare cosa e in quale momento.
Questo modello è diventato più rilevante con la diffusione del lavoro da remoto, dei servizi cloud, delle app aziendali accessibili via web e dei dispositivi mobili. I dati non restano più soltanto su un server interno e le persone non lavorano sempre dalla stessa sede o rete.
I principi su cui si basa
Lo zero trust non è un singolo programma da installare. È un insieme di regole organizzative e tecniche che possono essere adottate gradualmente. Le sue idee principali sono tre.
Verificare in modo esplicito
Ogni richiesta di accesso viene valutata usando più elementi: identità dell’utente, password, codice temporaneo, stato del dispositivo, posizione approssimativa, orario, tipo di risorsa richiesta e comportamento dell’account.
Un esempio comune è l’autenticazione a più fattori. Dopo aver inserito la password, la persona conferma l’accesso tramite un’app, un codice o una chiave di sicurezza. La password resta utile, ma da sola non è più sufficiente.
La verifica non deve necessariamente essere identica per ogni azione. Consultare un documento pubblico interno può richiedere controlli minori rispetto al download di dati riservati o alla modifica delle coordinate di pagamento. Il livello di protezione dipende dal rischio.
Concedere il minimo privilegio necessario
Il principio del minimo privilegio stabilisce che ciascuno debba poter accedere soltanto alle informazioni e alle funzioni necessarie per il proprio compito. Un addetto alle vendite, per esempio, può avere bisogno dei dati dei clienti, ma non delle impostazioni dei server. Un consulente esterno può collaborare su un progetto senza vedere l’intero archivio aziendale.
Limitare i permessi riduce le conseguenze di un errore o di un furto di credenziali. Se un account viene compromesso, chi lo controlla non dovrebbe poter raggiungere automaticamente tutte le risorse disponibili.
Questa logica richiede però una gestione attenta. Permessi troppo ampi aumentano il rischio; permessi troppo restrittivi possono rallentare il lavoro e spingere le persone a cercare scorciatoie poco sicure, come condividere password o usare archivi personali non autorizzati.
Considerare possibile una violazione
Lo zero trust parte dal presupposto che un incidente possa già essere avvenuto o possa verificarsi nonostante le difese. Per questo cerca di limitare gli spostamenti laterali all’interno dei sistemi: un accesso illecito a un’applicazione non dovrebbe consentire di raggiungere facilmente database, cartelle condivise e altri servizi.
A questo scopo si usano segmentazione delle reti, separazione degli ambienti, registri delle attività e controlli continui. Analizzare i log permette di individuare segnali anomali, come un utente che scarica un volume insolito di file o tenta di entrare in aree estranee alle sue mansioni.
Un esempio pratico
Immaginiamo una piccola impresa che utilizza posta elettronica, archivi condivisi e un gestionale online. Con un’impostazione poco controllata, tutti i dipendenti potrebbero entrare nei servizi con una sola password e da qualunque dispositivo. Se una credenziale finisce in mani sbagliate, l’accesso può apparire legittimo.
Con un approccio zero trust, l’azienda potrebbe richiedere l’autenticazione a più fattori, consentire l’accesso solo da dispositivi aggiornati e protetti, separare i documenti amministrativi da quelli commerciali e revocare rapidamente i permessi a chi cambia ruolo o termina una collaborazione.
Se una persona prova a entrare da un paese inatteso, da un computer non registrato o in un orario insolito, il sistema può chiedere una verifica aggiuntiva o bloccare temporaneamente la richiesta. Non si tratta di una garanzia assoluta, ma di una barriera che rende più difficile sfruttare un account compromesso.
Zero trust non vuol dire fidarsi di meno delle persone
Uno degli equivoci più frequenti è interpretare il termine come una forma di controllo personale sui lavoratori. In realtà, il focus è tecnico: proteggere dati, account e sistemi da errori, furti di credenziali, software dannosi e configurazioni sbagliate.
Un buon progetto dovrebbe essere proporzionato. Una verifica aggiuntiva per operazioni sensibili può essere ragionevole; procedure complicate per ogni attività ordinaria possono invece creare frustrazione senza produrre un vantaggio equivalente. La sicurezza funziona meglio quando è comprensibile e quando le persone sanno perché viene richiesta.
Anche la trasparenza conta. Le organizzazioni dovrebbero spiegare quali controlli vengono adottati, quali dati tecnici vengono raccolti e come sono gestiti. Questo aiuta a distinguere le misure di protezione da controlli non necessari sull’attività individuale.
Da dove iniziare per applicarlo
L’adozione dello zero trust non richiede sempre una trasformazione immediata. Per molte realtà, soprattutto piccole o medie, il punto di partenza è individuare gli accessi più critici: posta elettronica, account amministrativi, servizi cloud, archivi con dati riservati e strumenti finanziari.
Le prime misure utili sono spesso l’attivazione dell’autenticazione a più fattori, la revisione periodica dei permessi e la rimozione degli account non più necessari. È altrettanto importante mantenere aggiornati sistemi operativi e applicazioni, perché una verifica dell’identità non protegge da sola un dispositivo vulnerabile.
Successivamente si possono definire regole più dettagliate: quali dispositivi sono ammessi, chi può condividere documenti all’esterno, quando serve un’approvazione aggiuntiva e quali eventi devono generare un avviso. Le scelte dipendono dalle dimensioni dell’organizzazione, dal tipo di dati trattati, dal budget e dagli strumenti già in uso.
Non tutte le aziende hanno bisogno dello stesso livello di complessità. Una realtà con pochi utenti e servizi standard può ottenere un miglioramento concreto con interventi essenziali e ben gestiti. Un’organizzazione con molti reparti, dati sensibili e numerosi fornitori avrà invece bisogno di una progettazione più articolata.
Limiti e aspetti da valutare
Lo zero trust riduce alcuni rischi, ma non elimina gli incidenti informatici. Un utente può comunque essere ingannato da una comunicazione fraudolenta, un fornitore può subire una violazione oppure una configurazione può contenere errori. Il modello è più efficace quando si accompagna a formazione, procedure di risposta agli incidenti e copie di sicurezza affidabili.
Può inoltre comportare costi, tempi di configurazione e cambiamenti nelle abitudini di lavoro. Una richiesta di conferma in più è un piccolo attrito; molte regole mal progettate possono diventare un ostacolo quotidiano. Per questo serve un equilibrio tra protezione e usabilità, verificato nel tempo con chi utilizza davvero gli strumenti.
La domanda utile non è se adottare lo zero trust come etichetta, ma quali accessi meritano maggiore protezione e quali controlli sono sostenibili. Partire dalle risorse più delicate, misurare i problemi e correggere gradualmente le regole consente di rendere la sicurezza una pratica concreta, non soltanto una dichiarazione di principio.
