Lo zero trust è il modello di sicurezza che elimina la fiducia implicita dalla rete e verifica ogni accesso in base ai suoi meriti. Invece di fidarsi di qualunque cosa si trovi all'interno del perimetro, chiede a ogni richiesta di dimostrare che dovrebbe essere consentita. In un IT ricco di identità, questo approccio è potente e sempre più standard.
Applicare lo zero trust all'OT è più difficile. Molti sistemi OT non hanno identità, parlano protocolli privi di autenticazione e non possono tollerare il sovraccarico che i meccanismi di zero trust introducono. Questo articolo esamina cosa si traduce, cosa si incrina e come la riduzione della raggiungibilità offre un percorso pragmatico verso lo stesso obiettivo.
01Punti chiave
- 01
Lo zero trust elimina la fiducia implicita nella rete e verifica ogni accesso invece di fidarsi della posizione.
- 02
Le sue idee fondamentali, privilegio minimo, microsegmentazione e verifica continua, sono preziose nell'OT.
- 03
Si incrina laddove i sistemi OT non hanno identità, usano protocolli non autenticati o non possono tollerare il sovraccarico aggiuntivo.
- 04
Lo spirito dello zero trust, non presumere mai che la raggiungibilità sia sicura, si mappa direttamente sulla riduzione della raggiungibilità.
- 05
Un passo pragmatico di zero trust nell'OT è eliminare l'accesso permanente e rendere la connettività esplicita e minima.
02I fondamenti dello zero trust
Lo zero trust sostituisce il vecchio modello di una rete interna fidata dietro un perimetro rigido con uno in cui nessun attore o sistema è fidato per impostazione predefinita. Ogni richiesta di accesso viene autenticata, autorizzata e verificata rispetto alle policy, indipendentemente dalla sua provenienza.
Il NIST descrive l'architettura zero trust attorno a principi come il privilegio minimo, le decisioni di accesso per singola richiesta e la verifica continua. L'obiettivo è garantire che trovarsi sulla rete non sia, di per sé, l'autorizzazione a fare qualcosa.
L'affermazione centrale dello zero trust: la posizione non è autorizzazione. Ogni accesso deve guadagnarsi il proprio permesso.
03Perché l'OT mette alla prova il modello
Lo zero trust presuppone un mondo di identità forti e la capacità di verificare ogni richiesta. L'OT spesso non offre né l'una né l'altra, ed è qui che il modello si mette sotto sforzo.
- Molti dispositivi non hanno alcun concetto di identità utente da autenticare.
- I protocolli industriali spesso mancano del tutto di autenticazione e cifratura.
- I vincoli in tempo reale non lasciano spazio al sovraccarico della verifica per singola richiesta.
- I sistemi legacy non possono eseguire agent o software di sicurezza moderni.
- I requisiti di disponibilità rendono rischioso il blocco aggressivo.
04Cosa si traduce e cosa no
Anziché considerare lo zero trust come tutto o niente, è utile separare i principi che sopravvivono al passaggio all'OT dai meccanismi che spesso non ci riescono.
- Si traduce bene
- Privilegio minimo, microsegmentazione, eliminazione della fiducia implicita tra le zone e verifica dell'accesso presso confini controllati anziché fidarsi della rete.
- Si traduce male
- Identità per singolo dispositivo sui controller legacy, enforcement basato su agent e autenticazione continua per singola richiesta sui protocolli in tempo reale.
La lezione è perseguire i risultati dello zero trust con i mezzi che l'OT consente, spesso a livello di rete e di confine, anziché imporre meccanismi IT a dispositivi che non possono supportarli.
05La riduzione della raggiungibilità come passo pragmatico di zero trust
Se un dispositivo non può verificare chi gli sta parlando, la migliore alternativa è limitare rigorosamente cosa può parlargli, e quando. Questo è lo zero trust espresso attraverso la raggiungibilità: non presumere mai che un percorso debba essere aperto solo perché esiste.
Eliminare l'accesso permanente incarna il principio predefinito dello zero trust di negare per impostazione predefinita. Un schema di connettività controllata AIRGAPNET può mantenere i segmenti OT disconnessi per impostazione predefinita e aprire un percorso solo per uno scopo esplicitamente approvato e circoscritto nel tempo, così che la connettività non sia mai implicita e sempre giustificata, anche quando il dispositivo stesso non può imporlo.
Non è un'architettura zero trust completa, ma offre la parte più importante dell'intento: nulla è raggiungibile solo perché si trova a essere sulla rete.
06Riflessione conclusiva
Lo zero trust è un'idea solida che non si trapianta in modo pulito nell'OT. Preso alla lettera, con identità per singolo dispositivo e verifica continua ovunque, si scontra con i protocolli legacy, i limiti in tempo reale e i dispositivi che non possono partecipare.
Preso come intento, non fidarsi mai della rete, giustificare sempre l'accesso, si adatta bene all'OT. Perseguilo dove l'OT lo consente, appoggiati alla segmentazione e all'accesso minimo, e usa la riduzione della raggiungibilità per negare per impostazione predefinita. Lo zero trust nell'OT riguarda meno nuovi agent su vecchi dispositivi e più il rifiuto di presumere che qualsiasi percorso sia sicuro.
FAQDomande frequenti
Che cos'è lo zero trust?
Lo zero trust è un modello di sicurezza che elimina la fiducia implicita dalla rete e verifica ogni accesso in base ai suoi meriti. Invece di fidarsi di qualunque cosa si trovi all'interno di un perimetro, richiede che ogni richiesta sia autenticata, autorizzata e verificata rispetto alle policy.
Perché lo zero trust è difficile da applicare nell'OT?
Molti dispositivi OT non hanno un'identità utente, i protocolli industriali spesso mancano di autenticazione, i vincoli in tempo reale non lasciano spazio al sovraccarico della verifica per singola richiesta, i sistemi legacy non possono eseguire agent e i rigorosi requisiti di disponibilità rendono rischioso il blocco aggressivo.
Quali parti dello zero trust funzionano nell'OT?
Il privilegio minimo, la microsegmentazione, l'eliminazione della fiducia implicita tra le zone e la verifica dell'accesso presso confini controllati si traducono bene. L'identità per singolo dispositivo sui controller legacy, l'enforcement basato su agent e l'autenticazione continua per singola richiesta spesso no.
Che relazione c'è tra la riduzione della raggiungibilità e lo zero trust?
Se un dispositivo non può verificare chi gli sta parlando, la migliore alternativa è limitare rigorosamente cosa può raggiungerlo e quando. Eliminare l'accesso permanente e rendere la connettività esplicita e circoscritta nel tempo incarna il principio predefinito dello zero trust di negare per impostazione predefinita.
È possibile realizzare uno zero trust completo nell'OT?
Raramente nel senso letterale dell'IT, perché molti dispositivi non possono partecipare. Ma l'intento, non fidarsi mai della rete e giustificare sempre l'accesso, è realizzabile attraverso la segmentazione, l'accesso minimo e la riduzione della raggiungibilità a livello di rete e di confine.
SRCFonti ufficiali
Non fidarti mai del percorso
Nega per impostazione predefinita dove i dispositivi non possono verificare da soli.
Esprimi l'intento dello zero trust nell'OT eliminando l'accesso permanente: mantieni i segmenti disconnessi per impostazione predefinita e apri un percorso solo per uno scopo esplicito, circoscritto nel tempo e approvato.