Zero Trust non è un prodotto che si può acquistare. Non è un singolo strumento e non è una regola firewall. Zero Trust è una filosofia architetturale — e può essere implementata anche senza un budget milionario. Il NIST ha definito il quadro di riferimento con la SP 800-207: nessun utente, nessun dispositivo e nessun segmento di rete viene automaticamente considerato affidabile. Ogni accesso viene verificato esplicitamente. Ogni volta.
Perché il modello perimetrale non funziona più
Il modello di sicurezza classico si basa su un presupposto semplice: all’interno della rete è sicuro, all’esterno no. Il firewall è la cinta muraria; dietro di essa ci si fida. Questo modello aveva la sua ragion d’essere quando tutti i collaboratori si trovavano nello stesso edificio e tutti i dati risiedevano su server locali.
Questa realtà non esiste più. I collaboratori lavorano da remoto, le applicazioni girano nel cloud, i partner accedono ai sistemi interni tramite VPN. Il confine della rete è diventato permeabile — ammesso che esista ancora. E quando un aggressore si trova all’interno del perimetro — tramite phishing, credenziali rubate o una VPN compromessa — si muove lateralmente nella rete come se vi appartenesse.
I tre principi fondamentali
La SP 800-207 del NIST definisce Zero Trust attraverso sette principi. Per l’implementazione pratica, questi possono essere condensati in tre principi chiave:
1. Verify explicitly — verificare sempre in modo esplicito
Ogni accesso viene autenticato e autorizzato sulla base di tutti i dati disponibili: identità dell’utente, stato del dispositivo, posizione, orario, pattern di accesso. Non una volta sola, ma ad ogni richiesta. Un utente autenticato su un dispositivo compromesso non dovrebbe ottenere l’accesso a dati sensibili.
2. Least privilege — autorizzazioni minime
Utenti e sistemi ricevono solo i diritti necessari per l’attività corrente. Niente di più. Limitati nel tempo, dove possibile. Il contabile non ha bisogno dell’accesso admin al file server. Lo sviluppatore non ha bisogno dell’accesso in scrittura al database di produzione. Sembra banale, eppure nella pratica viene raramente applicato in modo coerente.
3. Assume breach — partire dal presupposto di una violazione
La pianificazione parte dal presupposto che un aggressore sia già presente nella rete. Questa ipotesi modifica radicalmente il design: microsegmentazione, crittografia end-to-end, monitoraggio continuo. Il focus si sposta dalla sola prevenzione al rilevamento e al contenimento. L’obiettivo: limitare i danni anche in caso di intrusione riuscita.
Cinque passi per l’implementazione nelle PMI
Zero Trust viene spesso presentato come un concetto riservato alle grandi imprese — troppo complesso, troppo costoso per le PMI. È falso. L’implementazione non deve avvenire tutta in una volta. La CISA descrive nel Zero Trust Maturity Model v2.0 quattro livelli di maturità, da “Traditional” a “Optimal”. Ogni organizzazione può partire dal punto in cui si trova e avanzare progressivamente.
Passo 1: introdurre l’MFA ovunque
L’autenticazione a più fattori è la singola misura più efficace con il miglior rapporto costi-benefici. Per tutti gli utenti, su tutti i sistemi — e-mail, VPN, servizi cloud, accessi admin. Nessuna eccezione per la direzione. Token hardware o app di autenticazione sono sufficienti; l’MFA basata su SMS è meglio di niente, ma vulnerabile al SIM swapping.
Passo 2: segmentare la rete
La suddivisione della rete in VLAN con regole firewall dedicate tra i segmenti limita il movimento laterale di un aggressore. Come minimo: separare IT dell’ufficio, sistemi di produzione, infrastruttura server e rete di backup. Ogni managed switch supporta le VLAN — l’hardware è già presente nella maggior parte delle PMI.
Passo 3: ridurre le autorizzazioni al minimo
Controllo degli accessi basato sui ruoli (RBAC) anziché autorizzazioni individuali. Revisioni periodiche degli accessi: chi ha accesso a cosa, ed è ancora giustificato? I diritti di admin locale sulle postazioni di lavoro sono nella maggior parte dei casi superflui e rappresentano un comune vettore d’attacco. Account di servizio con diritti minimi e password proprie, non eseguiti con l’account domain admin.
Passo 4: stabilire monitoraggio e logging
Chi non vede cosa succede nella rete non può né rilevare attacchi né dimostrare la conformità. Raccolta centralizzata dei log, monitoraggio dei tentativi di accesso falliti, allerte in caso di pattern di accesso insoliti. Un SIEM non deve essere costoso — soluzioni open source come Wazuh o lo stack ELK offrono funzionalità solide per ambienti PMI.
Passo 5: verificare lo stato dei dispositivi
Un utente affidabile su un dispositivo compromesso non è un accesso affidabile. I controlli sullo stato del dispositivo verificano prima di concedere l’accesso: il sistema operativo è aggiornato? La protezione endpoint è attiva? La crittografia del disco è abilitata? Microsoft Entra (ex Azure AD) Conditional Access può implementare questi controlli per gli ambienti Microsoft 365 — senza costi aggiuntivi con la maggior parte delle licenze business.
Il CISA Zero Trust Maturity Model come roadmap
Nella versione 2.0 del Zero Trust Maturity Model, la CISA definisce cinque pilastri: Identity, Devices, Networks, Applications & Workloads e Data. Ogni pilastro si articola su quattro livelli di maturità: Traditional, Initial, Advanced e Optimal. Questo modello è uno strumento eccellente per la valutazione del proprio posizionamento e per la pianificazione — anche per le PMI.
La maggior parte delle PMI parte dal livello “Traditional” o “Initial”. Non è un problema. Ciò che conta è la direzione, non la posizione attuale. Una PMI che ha introdotto l’MFA, segmentato la propria rete e riordinato le autorizzazioni è già meglio protetta di molte organizzazioni significativamente più grandi.
Contesto svizzero: LSIn e pressione normativa
La Legge svizzera sulla sicurezza delle informazioni (LSIn) richiede agli operatori di infrastrutture critiche un sistema di gestione della sicurezza funzionante. Entro la fine del 2026, le organizzazioni interessate dovranno istituire un ISMS. I principi di Zero Trust — verifica esplicita, autorizzazioni minime, monitoraggio continuo — sono direttamente allineati a questi requisiti.
A livello europeo, la NIS2 sta guidando la stessa evoluzione. Le aziende svizzere con clienti o partner nell’UE dovranno sempre più misurarsi con questi standard. Zero Trust non è un espediente di conformità, ma l’implementazione tecnica di ciò che i regolatori chiedono da anni: gestione della sicurezza basata sul rischio, controlli degli accessi tracciabili e monitoraggio continuo.
Malinteso comune: Zero Trust non significa sfiducia
Il termine suscita talvolta resistenze culturali: “Non ci fidiamo più dei nostri collaboratori?” È un malinteso. Zero Trust non è diretto contro le persone, ma contro le assunzioni. Non si tratta di diffidare dei collaboratori, ma di progettare i sistemi tecnici in modo che un account compromesso o un dispositivo rubato non significhi automaticamente accesso completo.
Un’implementazione ben riuscita di Zero Trust è appena percepibile per gli utenti finali. L’MFA diventa un’abitudine, le autorizzazioni corrispondono al ruolo e il monitoraggio opera in background. La sicurezza aumenta senza che la produttività ne risenta.
Come Zerberos può aiutarvi
L’introduzione di Zero Trust inizia con una valutazione onesta della propria situazione: a che punto si trova oggi, e quali misure offrono il maggiore beneficio in termini di sicurezza? I nostri servizi:
- Risk Assessment — Analisi della Sua architettura attuale e identificazione delle maggiori lacune rispetto ai principi Zero Trust
- Penetration test — Verifica di quanto un aggressore possa muoversi lateralmente dopo un accesso iniziale
- Security Roadmap — Piano di implementazione graduale, con priorità in base al rischio e alla fattibilità
Ci contatti per una valutazione del Suo livello di maturità Zero Trust.