Per anni la sicurezza aziendale è stata interpretata con un’idea semplice: esiste un “dentro” affidabile e un “fuori” pericoloso. Si protegge il perimetro, si installa un firewall, si definiscono due o tre regole, e si presume che ciò che sta in rete interna sia automaticamente più sicuro. Questa impostazione, in molti contesti, ha funzionato finché le aziende erano statiche, i dispositivi erano pochi, gli accessi remoti erano rari e i sistemi connessi erano limitati.
Oggi, però, la realtà è diversa. La rete interna non è più un luogo protetto per definizione. È un ambiente popolato da notebook che entrano ed escono, smartphone, stampanti e scanner in rete, dispositivi IoT, telecamere IP, access point, sistemi di building, postazioni temporanee, consulenti esterni, servizi cloud e collegamenti VPN. A questo si aggiunge un elemento che spesso viene sottovalutato: molte intrusioni non iniziano “dal fuori” con un attacco spettacolare, ma da un accesso plausibile, ottenuto tramite credenziali rubate o tramite un dispositivo debole, e poi si muovono lateralmente, cercando di raggiungere dati e servizi critici.
Il modello Zero Trust nasce per rispondere a questo scenario con un principio chiaro: non si concede fiducia automatica a nulla e a nessuno, nemmeno “dentro” la rete. La fiducia, se serve, si costruisce e si verifica continuamente. Non è una tecnologia da comprare. È un modo di progettare infrastrutture e accessi, con un obiettivo pratico: ridurre la superficie di attacco, limitare i danni quando qualcosa va storto, e rendere la rete governabile.
Il cuore del concetto: identità, contesto, permessi minimi
Zero Trust significa soprattutto tre cose. La prima è che l’identità conta più della posizione. Non importa se sei in ufficio o da remoto: ciò che fa la differenza è chi sei, con che credenziali ti presenti e che livello di certezza abbiamo su di te. La seconda è che conta il contesto: che dispositivo stai usando, da dove ti stai collegando, in che orario, con che stato di sicurezza, con quali segnali di rischio. La terza è che i permessi devono essere minimi e mirati: si accede solo a ciò che serve, per il tempo che serve, con tracciabilità.
Questa impostazione è estremamente “terrena”. Non richiede filosofie astratte. Richiede progettazione e disciplina. Ed è proprio per questo che, quando viene implementata bene, porta benefici immediati anche in aziende piccole e medie, dove spesso la rete è cresciuta per stratificazione e l’accesso ai sistemi è diventato troppo permissivo per comodità.
Primo passo: mettere ordine nelle identità e negli accessi
La sicurezza digitale di molte aziende crolla su un punto banale: credenziali riutilizzate, password condivise, account “generici”, utenti che mantengono privilegi anche quando cambiano ruolo, accessi remoti concessi una volta e mai più rivisti. Parlare di Zero Trust senza mettere ordine qui significa costruire su fondamenta instabili.
Un’impostazione coerente prevede che ogni persona abbia il proprio account, che gli accessi siano tracciabili, che le autorizzazioni siano legate a un ruolo e non a una persona “perché si è sempre fatto così”, e che ci sia una regola ferrea per la gestione delle eccezioni. L’autenticazione a più fattori non è un vezzo: è una misura di base per ridurre l’efficacia del furto credenziali. Se un’azienda usa servizi cloud, posta, file sharing o gestionali online, l’MFA è uno dei pochi interventi che riduce davvero il rischio con un impatto operativo sostenibile.
Zero Trust non chiede di complicare la vita alle persone. Chiede di ridurre gli accessi inutili e di rendere più difficile l’abuso degli accessi. In pratica significa anche un’altra cosa: se qualcuno “deve avere tutto” per lavorare, spesso non è un problema di sicurezza, è un problema di processo e di organizzazione dei permessi.
Secondo passo: segmentare la rete con criterio, non “perché si può”
La parola segmentazione viene spesso usata come una formula. In realtà è uno strumento estremamente concreto: serve a impedire che un problema su una parte della rete diventi un problema per tutto. In un’azienda reale, segmentare bene significa separare in modo logico e misurabile ciò che ha nature e rischi diversi: rete utenti, rete server e servizi, rete ospiti, rete IoT, rete videosorveglianza, rete management apparati. Non si tratta di fare VLAN per sport, ma di creare confini che abbiano senso.
In un modello tradizionale, se un PC viene compromesso, può “vedere” la rete interna e tentare connessioni a tutto. In un modello segmentato, quel PC vede molto meno e, soprattutto, non può parlare liberamente con sistemi che non lo riguardano. La segmentazione, quando è accompagnata da regole firewall interne coerenti, riduce drasticamente il movimento laterale. È una delle differenze più nette tra una rete che “funziona” e una rete che “resiste”.
Qui entra il lavoro serio di infrastruttura: switch adeguati, progettazione degli indirizzamenti, gestione delle policy, separazione del management, documentazione dell’architettura. È un tema che sembra tecnico e basta, ma in realtà è governance: definire cosa può parlare con cosa e per quale motivo.
Terzo passo: controllare i dispositivi, perché il dispositivo è la porta
Zero Trust considera ogni dispositivo un potenziale punto di ingresso. Questo non significa paranoia. Significa realismo: un notebook non aggiornato, un endpoint senza protezione, un dispositivo con password di fabbrica, una stampante esposta, un access point configurato male, sono porte. Se l’identità dell’utente è il “chi”, il dispositivo è il “con cosa”. E “con cosa” determina spesso il rischio più di quanto le persone immaginino.
Governare i dispositivi significa avere regole di base: aggiornamenti, cifratura dove serve, protezione endpoint, policy sulle password, inventario, dismissione corretta. Significa anche evitare che la rete accetti qualunque cosa senza sapere cos’è. In molte aziende la rete è accogliente con i dispositivi e severa con le persone. È l’opposto di ciò che serve. La rete dovrebbe essere severa con ciò che non conosce.
Quarto passo: rendere l’accesso remoto coerente con l’accesso interno
Uno dei grandi errori è trattare l’accesso remoto come una scorciatoia. Si apre una VPN “per lavorare da casa” e, di fatto, si concede al dispositivo remoto lo stesso potere di un dispositivo interno. Se quel dispositivo remoto è debole o compromesso, la VPN diventa un ponte.
Un modello Zero Trust ben applicato tende a ridurre i “ponti totali” e ad aumentare gli accessi mirati: si concede accesso a specifici servizi, con controlli di identità e contesto, con log coerenti, con regole che si possono verificare e revisionare. L’obiettivo non è impedire il lavoro da remoto, ma impedire che lo smart working diventi una deroga permanente alla sicurezza.
Quinto passo: log, eventi e monitoraggio come disciplina, non come optional
La sicurezza senza capacità di ricostruzione è una sicurezza incompleta. In azienda serve poter rispondere a domande semplici: chi si è collegato, da dove, a cosa, quando, e cosa è successo dopo. Non serve accumulare log a caso. Serve una raccolta coerente e una lettura orientata agli eventi critici.
Zero Trust spinge naturalmente verso questa disciplina perché, se la fiducia non è automatica, allora ogni autorizzazione e ogni accesso significativo deve lasciare tracce. La traccia non è burocrazia: è ciò che permette di reagire in modo rapido e non emotivo quando accade un’anomalia.
Sesto passo: ridurre la complessità “invisibile” con regole semplici e stabili
Molte aziende falliscono sulla sicurezza perché aggiungono strumenti senza ridurre la complessità. Zero Trust funziona quando si traduce in regole chiare: ruoli, permessi, segmenti di rete, criteri di accesso, standard di dispositivo. Se ogni eccezione diventa una regola, la sicurezza diventa ingestibile. La qualità sta nel saper limitare le eccezioni e nel documentarle.
C’è un elemento tradizionale che qui conta più che mai: la manutenzione come metodo. Impianti e reti funzionano nel tempo quando sono progettati per essere gestiti, quando la documentazione esiste e quando il cambiamento è governato. La sicurezza digitale, in questo senso, non è diversa dall’impiantistica: ciò che non è governato, degrada.
Settimo passo: partire dai punti ad alto impatto, senza farsi sedurre dalla teoria
Zero Trust può essere implementato per gradi. È quasi sempre la scelta migliore. In pratica si parte dai punti che riducono subito il rischio: mettere in sicurezza le identità, applicare MFA dove serve, segmentare le reti più esposte, isolare IoT e videosorveglianza, governare accessi remoti, e introdurre un minimo di monitoraggio coerente.
Il risultato, quando viene fatto bene, è tangibile: meno incidenti, meno “misteri” di rete, meno accessi incontrollati, migliore capacità di audit, maggiore continuità operativa. E soprattutto una rete che diventa più simile a un’infrastruttura progettata e meno simile a un insieme di eccezioni.
Conclusione
Zero Trust non è una moda e non è una promessa pubblicitaria. È la risposta più pratica a un fatto: la rete interna non è più sinonimo di fiducia. In un’azienda moderna la sicurezza digitale si costruisce con identità solide, accessi mirati, rete segmentata, dispositivi governati e capacità di tracciare ciò che conta. Questo non rende l’azienda invulnerabile, ma la rende più robusta, più controllabile e meno esposta a incidenti banali che, nella realtà, sono quelli che fanno più danni.
