Lo Zero Trust sta diventando una realtà per gli appalti federali

Lo Zero Trust fa parte da anni del dibattito federale sulla cybersicurezza. Ciò che sta cambiando ora è il livello di dettaglio pratico, controllo e urgenza legato all'implementazione. Per gli appaltatori federali, le organizzazioni della base industriale della difesa e i team che supportano sistemi governativi sensibili, lo Zero Trust non è più una filosofia astratta di sicurezza. Sta diventando parte del modo in cui le agenzie valutano preparazione, resilienza e rischio.

Nel gennaio 2026, la National Security Agency ha pubblicato nuovi materiali sulle linee guida per l'implementazione dello Zero Trust, inclusi un documento introduttivo e indicazioni sulla fase di rilevamento, seguiti da ulteriori indicazioni per l'implementazione della Fase Uno e della Fase Due. I documenti si basano sulle precedenti direttive federali di NIST, CISA, OMB e sui framework di cybersicurezza della difesa. Il loro scopo non è vendere uno strumento o promuovere un modello tecnico ristretto. Offrono ai proprietari dei sistemi, ai team di cybersicurezza e agli stakeholder un percorso più concreto per passare dalla teoria dello Zero Trust all'implementazione operativa.

Questo è importante perché molte organizzazioni sottovalutano ancora il divario tra dichiarare di supportare il modello Zero Trust e riuscire a dimostrarlo concretamente. Un moderno provider di identità, l'autenticazione multifattore, il rilevamento degli endpoint o un nuovo strumento di monitoraggio possono essere parte della soluzione. Nessuno di questi elementi, da solo, rende un'organizzazione pronta per il modello Zero Trust.

Ciò che la guida federale sta realmente indicando

Il governo federale si muove in questa direzione almeno dall'Executive Order 14028 e dal Memorandum M-22-09 dell'OMB, che hanno spinto le agenzie civili verso obiettivi specifici di cybersicurezza Zero Trust entro la fine dell'anno fiscale 2024. Il modello di maturità Zero Trust di CISA, pubblicato inizialmente per la consultazione pubblica nel 2021 e successivamente aggiornato, ha fornito alle agenzie un modo per valutare i progressi in aree fondamentali quali identità, dispositivi, reti, applicazioni, carichi di lavoro e dati.

I materiali del 2026 della NSA sulle linee guida per l'implementazione dello Zero Trust aggiungono un ulteriore livello: aiutano le organizzazioni a riflettere sul lavoro effettivamente necessario per attraversare le fasi di implementazione. Ciò include attività di rilevamento, attività fondamentali e compiti di implementazione più specifici relativi a identità, dispositivi, applicazioni, dati, reti, automazione e visibilità.

Per gli appaltatori, il messaggio pratico è semplice. Le agenzie e i clienti del settore della difesa si aspettano sempre più che i partner comprendano i principi dello Zero Trust, supportino ambienti allineati allo Zero Trust e operino in modi che non indeboliscano il livello di sicurezza del governo. Questo non significa che ogni appaltatore debba rispettare esattamente la stessa scadenza o la stessa checklist tecnica. Significa però che la direzione è chiara.

Lo Zero Trust non è una categoria di prodotti

Uno degli errori più facili è trattare lo Zero Trust come qualcosa che un'organizzazione può acquistare. Il mercato è pieno di prodotti che usano il linguaggio dello Zero Trust e molti di questi strumenti possono essere utili. Ma lo Zero Trust è di per sé un'architettura e un modello operativo. Cambia il modo in cui i sistemi considerano attendibili utenti, dispositivi, servizi, dati e traffico di rete.

I modelli di sicurezza tradizionali si sono spesso affidati eccessivamente all'idea di una rete interna attendibile. Una volta che un utente o un sistema era "all'interno", l'accesso era frequentemente più ampio del necessario. Lo Zero Trust parte da un presupposto diverso: nessun utente, dispositivo, carico di lavoro o connessione dovrebbe essere considerato attendibile automaticamente. L'accesso dovrebbe essere esplicito, limitato, valutato continuamente e vincolato a una policy.

Sembra semplice, finché non entra in contatto con un'infrastruttura reale. I sistemi legacy potrebbero non supportare i moderni modelli di identità. Le applicazioni interne potrebbero essere cresciute basandosi su presupposti non più validi. I dati potrebbero spostarsi tra strumenti senza una classificazione chiara. I segmenti di rete potrebbero riflettere vecchie decisioni di hosting invece dell'effettivo rischio aziendale. I log potrebbero esistere, ma non in una forma che supporti un monitoraggio o una risposta significativi.

Ecco perché il lavoro sullo Zero Trust tende a trasformarsi molto rapidamente in lavoro sull'infrastruttura.

La prospettiva degli appaltatori

Per gli appaltatori federali, la posta in gioco va oltre l'igiene della sicurezza interna. La preparazione al modello Zero Trust influisce sempre più sulla credibilità di un'organizzazione come partner del governo. Le agenzie vogliono fornitori e partner di implementazione che comprendano identità, controllo degli accessi, segmentazione, monitoraggio, gestione sicura dei dati e resilienza operativa. Un appaltatore che non sappia spiegare il proprio approccio a queste aree potrebbe incontrare maggiori difficoltà nel competere per attività legate a sistemi sensibili o ambienti regolamentati.

Recenti analisi di settore, inclusa un'implementazione anonima di 26 settimane presso un appaltatore descritta da Cabrillo Club, rafforzano un punto utile: anche un'implementazione iniziale dello Zero Trust può richiedere mesi quando l'organizzazione è già parzialmente preparata. Il lavoro comprende spesso rilevamento, decisioni sulle policy, modifiche all'identità, miglioramenti degli endpoint, segmentazione della rete, monitoraggio, governance e comunicazione tra i team tecnici e aziendali.

Questa tempistica non dovrebbe scoraggiare le organizzazioni dall'iniziare. Dovrebbe produrre l'effetto opposto. Se il lavoro richiede mesi, aspettare un requisito contrattuale, una non conformità rilevata in audit o una richiesta urgente di un'agenzia è una strategia sbagliata.

Le implicazioni operative

Un'iniziativa Zero Trust seria interessa solitamente diverse parti dell'ambiente tecnologico:

Gestione delle identità e degli accessi, inclusi autenticazione più forte, progettazione dei ruoli, accesso condizionale e autorizzazioni con il minimo privilegio
Postura dei dispositivi e degli endpoint, inclusa la visibilità su ciò che si connette, sul fatto che sia gestito e sul rispetto dei requisiti di sicurezza
Segmentazione della rete, inclusi i metodi per ridurre il raggio d'azione di una compromissione
Accesso ad applicazioni e carichi di lavoro, incluse le comunicazioni tra servizi e l'autorizzazione basata sulle policy
Classificazione e protezione dei dati, inclusi controlli che seguono i dati sensibili invece di dipendere esclusivamente dal luogo in cui sono archiviati
Monitoraggio e analisi, inclusa la visibilità sui modelli di accesso, sulle anomalie e sui comportamenti sospetti
Automazione e risposta, inclusi flussi di lavoro che aiutano i team ad agire rapidamente quando il rischio cambia

L'implementazione specifica varierà in base all'organizzazione. Un piccolo appaltatore federale con un ambiente incentrato sul cloud non seguirà lo stesso percorso di un grande fornitore della difesa con sistemi legacy, più reti e obblighi complessi di condivisione dei dati. Tuttavia, la disciplina di pianificazione è simile: comprendere lo stato attuale, mappare le lacune a più alto rischio, stabilire le priorità ed evitare di fingere che pochi acquisti disgiunti di strumenti equivalgano a un'architettura.

Dove le implementazioni falliscono

I progetti Zero Trust incontrano solitamente difficoltà per motivi prevedibili. A volte l'organizzazione inizia dai prodotti prima di comprendere l'architettura. A volte i team di sicurezza definiscono i controlli senza un contributo sufficiente da parte delle persone che gestiscono quotidianamente i sistemi. A volte l'iniziativa si trasforma in un esercizio di conformità, in cui l'obiettivo è produrre prove invece di ridurre il rischio reale.

Il modello di fallimento più comune è la frammentazione. Un team aggiunge un nuovo provider di identità. Un altro aggiunge strumenti per gli endpoint. Un altro ancora migliora la registrazione dei log. Un altro avvia un progetto di segmentazione. Ogni iniziativa può essere ragionevole di per sé, ma senza una progettazione coerente l'organizzazione si ritrova con controlli difficili da gestire, verificare e spiegare.

Questa non è una strategia Zero Trust. È una raccolta di miglioramenti della sicurezza con un'etichetta Zero Trust applicata sopra.

Come Ridiculous Engineering considera la preparazione al modello Zero Trust

In Ridiculous Engineering, consideriamo lo Zero Trust un problema di architettura e implementazione, non un esercizio da spuntare in una lista. L'obiettivo non è far sembrare moderno un diagramma o aggiungere un altro prodotto a un ambiente già complesso. L'obiettivo è aiutare le organizzazioni a prendere decisioni pratiche su identità, accesso, movimento dei dati, confini dell'infrastruttura, monitoraggio e flussi operativi.

Il lavoro inizia con una valutazione onesta dello stato attuale. Quali sono i sistemi più importanti? Dove risiedono i dati sensibili? Come si autenticano utenti e servizi? Quali applicazioni dipendono ancora dalla fiducia implicita? Quali log sono utili e quali esistono solo perché li produce uno strumento? Dove si propagherebbe troppo facilmente una compromissione? Quali controlli creerebbero attriti inaccettabili se implementati male?

Da qui, le organizzazioni possono costruire una roadmap prioritaria. Non è necessario fare tutto contemporaneamente. Anzi, cercare di fare tutto insieme è spesso il modo in cui queste iniziative perdono slancio. L'approccio migliore consiste nell'identificare le lacune a più alto rischio, pianificare la sequenza delle attività e progettare miglioramenti che rendano l'ambiente più sicuro e più gestibile allo stesso tempo.

Per molti appaltatori, ciò può significare rafforzare prima identità e accessi, migliorare la visibilità sugli endpoint e passare poi alla segmentazione, ai controlli sui dati e ai miglioramenti del monitoraggio. Per altri, la prima mossa giusta potrebbe essere la modernizzazione delle applicazioni, la razionalizzazione dell'architettura cloud, la progettazione delle policy o una migliore raccolta delle evidenze per gli audit e le revisioni dei clienti.

Il momento giusto per iniziare è prima che diventi urgente

Zero Trust non è un'idea nuova, ma le aspettative relative alla sua implementazione stanno diventando più concrete. Le agenzie federali sono state sottoposte a pressioni per rafforzare il proprio livello di sicurezza, e tale pressione si estende naturalmente all'ecosistema degli appaltatori. Gli appaltatori che supportano sistemi governativi, gestiscono dati sensibili o si integrano con ambienti federali dovrebbero aspettarsi un numero crescente di domande su come i loro sistemi autenticano, autorizzano, monitorano, segmentano e proteggono i dati.

Il costo del ritardo non consiste soltanto nel rischio di non conformità. Comprende anche le inefficienze operative che derivano dal tentativo di adattare la sicurezza in condizioni di pressione. Quando il lavoro sul modello Zero Trust viene svolto frettolosamente, le organizzazioni tendono ad acquistare strumenti prima di aver compreso il problema, a creare policy che frustrano gli utenti e a realizzare controlli difficili da mantenere. Quando il lavoro è pianificato, può migliorare la sicurezza semplificando al contempo alcune parti dell'ambiente.

Se la tua organizzazione ha bisogno di capire a che punto si trova, prepararsi alle aspettative federali in materia di cybersicurezza o trasformare le indicazioni sul modello Zero Trust in una roadmap pratica di implementazione, Ridiculous Engineering può aiutarti. Collaboriamo con i clienti per valutare lo stato attuale, individuare priorità realistiche, progettare l'architettura e passare dal linguaggio delle policy a sistemi realmente gestibili.

Zero Trust non significa inseguire una parola alla moda. Significa ridurre le supposizioni nei punti in cui queste generano rischi. Per gli appaltatori federali, questo sta rapidamente diventando parte integrante dell'essere un partner tecnologico credibile e affidabile.

Fonti e approfondimenti: NSA: prima di una serie di linee guida sull'implementazione del modello Zero Trust, NSA: linee guida sull'implementazione del modello Zero Trust, fase uno e fase due, CISA: modello di maturità Zero Trust, Memorandum OMB M-22-09, Cabrillo Club: roadmap Zero Trust per gli appaltatori federali

Lo Zero Trust non è più facoltativo: gli appaltatori federali affrontano una scadenza nel 2026