Zero Trust nella pratica: oltre lo slogan
L’identità come perimetro, la segmentazione e il minimo privilegio, in un percorso sequenziato.
Zero Trust è diventato un’etichetta che ognuno riempie a modo suo. Un venditore la stampa su un firewall, un altro su una VPN, un terzo su un agente per gli endpoint. Il principio, però, è più semplice e più scomodo di qualunque prodotto: nessuna richiesta è affidabile per il solo fatto di provenire da dentro la rete. Ogni accesso va verificato, ogni volta, in base a chi lo chiede, da quale dispositivo e per fare cosa.
La conseguenza pratica è che la posizione in rete smette di essere una credenziale. Non conta più se è “dentro” il perimetro aziendale: conta l’identità che presenta e il contesto in cui la usa. Questo cambia l’ordine delle priorità, non solo gli strumenti.
L’identità è il nuovo perimetro
Se elimina la fiducia implicita nella rete, il primo controllo diventa l’identità. Significa autenticazione forte (MFA resistente al phishing dove possibile), dispositivi di cui conosce lo stato di sicurezza, e decisioni di accesso basate sul contesto: utente, postura del dispositivo, sensibilità della risorsa. Non è un unico prodotto, è un punto di decisione coerente davanti a ciò che conta.
Il primo passo concreto quasi sempre è mettere ordine negli accessi che già esistono: chi può raggiungere cosa, con quali privilegi, e perché. Senza questa mappa, qualunque tecnologia Zero Trust protegge un disegno che nessuno ha davvero verificato.
Segmentazione: ridurre il raggio d’azione
La rete piatta è ciò che trasforma un incidente contenuto in una compromissione di dominio. La segmentazione — a livello di rete e, dove serve, fino alla microsegmentazione per carico di lavoro — limita il movimento laterale: se un sistema cade, l’attaccante non eredita automaticamente tutto il resto.
In pratica si parte separando ciò che non ha alcun motivo di parlarsi: ambienti di produzione e di gestione, workstation amministrative e utenti normali, servizi esposti e sistemi interni critici. Non serve segmentare tutto il primo giorno; serve segmentare per primo ciò la cui compromissione farebbe più danni.
Minimo privilegio, applicato davvero
Il principio del minimo privilegio è facile da enunciare e difficile da mantenere. I permessi si accumulano: cambi di ruolo, progetti finiti, accessi “temporanei” che restano. Il valore non sta nel concederli con parsimonia una volta, ma nel rivederli con regolarità e nel revocarli quando la ragione decade.
Per gli accessi più sensibili — amministrazione di sistemi, dati regolamentati — l’obiettivo è il privilegio just-in-time: elevazione concessa per la durata dell’attività e poi ritirata, con una traccia di chi ha fatto cosa. È qui che Zero Trust smette di essere teoria e diventa un controllo che riduce il danno atteso.
Verifica continua, non una sola volta
La fiducia in Zero Trust non è un timbro che si mette all’ingresso e vale per l’intera sessione. È una valutazione che continua: se la postura del dispositivo cambia, se compaiono segnali di rischio, se una richiesta esce dal comportamento atteso, l’accesso può essere richiesto di nuovo, ridotto o interrotto. Questo richiede telemetria — su identità, dispositivi e flussi — e la capacità di reagire a ciò che si osserva.
La conseguenza spesso trascurata è che Zero Trust è anche un programma di visibilità. Rendere esplicito ciò che prima era implicito — chi parla con chi, con quali privilegi — produce di per sé una difesa migliore, perché ciò che si vede si può contestare, e ciò che non si vede si dà per innocuo fino al giorno in cui non lo è.
Un percorso sequenziato, non un big bang
Zero Trust fallisce quando lo si tratta come un progetto unico da consegnare “a rete finita”. Funziona come una sequenza: prima l’inventario di identità, dispositivi e flussi; poi l’autenticazione forte sugli accessi che contano; poi la segmentazione dei domini a più alto impatto; infine la riduzione dei privilegi e il monitoraggio continuo che rende visibile ciò che prima era implicito.
Ogni tappa produce un beneficio misurabile per conto proprio, anche se si fermasse lì. È questa la differenza tra un programma che sopravvive ai budget annuali e una diapositiva che invecchia in un cassetto.
In sintesi
Zero Trust non è un prodotto da comprare, è una decisione architetturale da eseguire per gradi: rendere l’identità il perimetro, segmentare per contenere, ridurre i privilegi al minimo necessario e verificare in continuo. Fatto in sequenza, ogni passo abbassa il rischio senza fermare il business.
