Gateway VPN aziendali: accesso remoto sicuro e zero trust

Un gateway VPN aziendale offre ai dipendenti o alle sedi distaccate un canale cifrato per accedere alla rete dell’organizzazione. Rimane utile per i sistemi che necessitano di connettività a livello di rete, ma la cifratura è solo uno degli elementi necessari per un accesso sicuro. I controlli dell’identità, la gestione dei dispositivi, l’applicazione delle patch e le limitazioni alle risorse raggiungibili da ciascuna connessione sono altrettanto importanti.

La domanda giusta da porsi in fase di acquisto è pratica: chi deve accedere a quali risorse, da quali dispositivi e in che modo l’organizzazione limiterà i danni in caso di compromissione di un account? Prima di confrontare appliance, servizi cloud o dati sulla velocità di picco, conviene partire da qui.

VPN per l’accesso remoto e VPN da sito a sito

Una VPN per l’accesso remoto collega un singolo dispositivo all’ambiente dell’organizzazione. Una VPN da sito a sito collega reti, ad esempio quelle di una sede distaccata e di un data center. Queste configurazioni rispondono a esigenze diverse e dovrebbero essere soggette a criteri di accesso distinti. La connessione di una sede distaccata non dovrebbe concedere automaticamente a ogni dispositivo un accesso senza restrizioni a tutte le applicazioni.

Le soluzioni basate su IPsec e TLS sono approcci diffusi, ma il solo nome del protocollo non basta a garantire la sicurezza di un’implementazione. Anche la configurazione, le versioni software supportate, la gestione dei certificati e la risposta del fornitore alle vulnerabilità influiscono sul risultato.

Integrare i controlli di identità e dei dispositivi nella progettazione

Richiedere l’autenticazione a più fattori per l’accesso remoto e, se supportati, preferire metodi resistenti al phishing. Separare gli accessi degli amministratori dall’uso quotidiano dei dipendenti, revocare tempestivamente gli accessi quando il personale lascia l’organizzazione e limitare gli utenti alle risorse necessarie per i rispettivi ruoli. I dispositivi gestiti offrono inoltre all’organizzazione un maggiore controllo sugli aggiornamenti, sulla protezione degli endpoint e sui dati locali.

Questi controlli dovrebbero rimanere attivi anche dopo l’instaurazione della connessione. Un utente autenticato potrebbe comunque utilizzare un dispositivo compromesso o disporre di autorizzazioni troppo ampie. La segmentazione della rete e l’autorizzazione a livello di applicazione aiutano a impedire che una singola sessione compromessa si trasformi in una possibilità di movimento senza restrizioni nell’ambiente.

VPN e accesso zero trust

Zero trust è un approccio architetturale, non un singolo prodotto in grado di rendere sicura una rete. La pubblicazione NIST SP 800-207 descrive un approccio incentrato sulle risorse e sulle decisioni di accesso, anziché sulla fiducia implicita basata sulla posizione nella rete. Un tunnel VPN può far parte di questo ambiente, ma la semplice connessione tramite un gateway non dovrebbe essere considerata un’autorizzazione sufficiente.

Un accesso incentrato sulle applicazioni può ridurre la necessità di esporre agli utenti remoti un’ampia porzione della rete interna. Può essere più adatto ad alcune applicazioni web, mentre i sistemi legacy o la connettività delle sedi distaccate richiedono ancora un tunnel di rete. Le linee guida ZTNA dell’UK NCSC offrono un quadro utile per valutare questa transizione. Le organizzazioni possono adottare un approccio ibrido mentre sostituiscono le dipendenze più obsolete.

Valutare le prestazioni in condizioni realistiche

Confrontare il throughput cifrato, il numero di sessioni simultanee, la velocità di instaurazione delle connessioni e il comportamento in caso di failover, usando le impostazioni di sicurezza previste. La velocità nominale dell’interfaccia non equivale al throughput cifrato effettivamente disponibile. Nessun livello di rete può garantire latenza zero: cifratura, instradamento, congestione e distanza fisica contribuiscono tutti alla latenza.

Testare le applicazioni importanti per l’azienda, comprese le chiamate, i trasferimenti di file e i sistemi interattivi. Una configurazione in grado di gestire agevolmente il trasferimento di un file di grandi dimensioni potrebbe comunque offrire un’esperienza poco soddisfacente durante una videochiamata con molto traffico. Includere una prova di failover, così che il team sappia cosa accade alle sessioni attive quando un gateway o una connessione smette di funzionare.

Considerare il gateway un sistema critico

I gateway esposti a Internet devono avere un responsabile chiaramente designato, una versione software supportata e un processo rapido per l’applicazione delle patch. Limitare l’accesso alle interfacce di gestione, monitorare gli eventi di accesso e predisporre una procedura di ripristino verificata. Le indicazioni congiunte di CISA sulla sicurezza moderna degli accessi di rete spiegano perché le organizzazioni dovrebbero riesaminare i tradizionali modelli di accesso remoto insieme agli approcci più recenti.

Pianificare il rinnovo dei certificati, i backup della configurazione e gli accessi di emergenza prima che si verifichi un’interruzione. Le apparecchiature ridondanti sono utili solo se si considerano anche le dipendenze correlate, tra cui i servizi di identità, l’alimentazione e i collegamenti Internet. I servizi gestiti possono ridurre il carico operativo, ma l’organizzazione deve comunque definire responsabilità chiare e mantenere visibilità su modifiche e incidenti.

Scegliere un approccio sostenibile

Mantenere una VPN aziendale dove è necessaria la connettività di rete e ricorrere a un accesso più circoscritto alle applicazioni quando è più adatto alle esigenze operative. La configurazione più efficace combina il metodo di connessione giusto con solidi controlli dell’identità, segmentazione e manutenzione continua. Un abbonamento a una VPN per consumatori risponde a esigenze diverse e non dovrebbe essere presentato come un sostituto dell’accesso gestito ai sistemi aziendali.