Network Security Policy Management (NSPM): perché resta determinante e che cosa valutare

Il network security policy management (NSPM) consiste nel governare da un unico livello, e non dispositivo per dispositivo, le regole che controllano l'accesso alla rete su firewall, security group cloud e piattaforme di segmentazione. FireMon ha creato la categoria NSPM nel 2004 per risolvere la proliferazione delle regole firewall e il lavoro manuale di compliance. Vent'anni dopo il problema è più ampio: più vendor, più cloud, più cambiamenti e più audit.

Punti chiave

• I firewall applicano le policy. L'NSPM le governa. Una policy definita male produce una sicurezza applicata male, per quanto evoluto sia il firewall.
• Le reti enterprise comprendono ormai migliaia di firewall, security group cloud e strumenti di segmentazione: gestire le policy manualmente non è più affidabile.
• Framework come PCI DSS, NIST 800-53, DORA e NIS2 impongono requisiti di change control, audit e revisione delle regole: l'NSPM li supporta con evidenze continue.
• L'automazione riduce costi e tempi delle modifiche alle policy quando copre l'intero workflow, dalla richiesta alla dismissione della regola.
• Nella valutazione delle piattaforme NSPM, date priorità a normalizzazione multi-vendor, validazione pre-change, evidenze di compliance continue e workflow di change governato.

L'NSPM serve ancora

Sì. Finché firewall e controlli cloud applicano l'accesso, qualcuno deve governare ciò che applicano. La domanda emerge di solito quando un team sta rivalutando i propri strumenti, ad esempio dopo che un vendor ha dismesso un prodotto. La risposta non è cambiata: più dispositivi, vendor e ambienti gestite, meno una singola console è in grado di dirvi se la vostra policy fa davvero ciò che intendete.

I firewall applicano le policy di sicurezza

Gli errori nelle policy firewall provocano guasti critici fin dalle prime reti perimetrali, sia consentendo traffico indesiderato e malevolo, sia bloccando traffico necessario e causando interruzioni del business. È questa la ragione di fondo per cui esiste l'NSPM: i firewall applicano le policy di sicurezza che ricevono e policy definite male si traducono in sicurezza applicata male. FireMon ha creato la categoria NSPM nel 2004 proprio per affrontare questo problema.

Da allora la necessità di NSPM è cresciuta insieme alla complessità delle reti. Gli ambienti firewall semplici, che separavano segmenti interni, esterni e DMZ, si sono evoluti verso una segmentazione molto più granulare delle reti interne. L'"esterno" si è ampliato con l'adozione del cloud pubblico, la complessità applicativa è aumentata, le minacce sono cresciute per numero e sofisticazione e la tecnologia firewall è diventata più potente e più complessa.

Oggi è normale che le aziende gestiscano migliaia di firewall, ciascuno con migliaia di regole, decine di migliaia di oggetti di rete e combinazioni complesse di regole e gruppi di oggetti che nel loro insieme rappresentano decine di milioni di percorsi di accesso unici attraverso la rete. Con questo livello di complessità, una sicurezza efficace è impossibile senza una gestione efficace delle policy.

Per questo FireMon definisce la policy il control plane della network security. La policy stabilisce che cosa la sicurezza di rete deve fare. Firewall, security group cloud e piattaforme di segmentazione sono l'infrastruttura che la esegue. Governare la policy da un unico livello offre ai team un solo punto da cui vedere, controllare e dimostrare che l'ambiente si comporta come previsto.

Per realtà come le grandi banche, complesse, fortemente regolamentate e bersaglio frequente di attacchi, una soluzione NSPM è un elemento fondante della gestione della sicurezza. Anche errori minimi nelle policy possono rendere inefficace la più moderna tecnologia firewall. Una piccola modifica a un gruppo di oggetti, ad esempio, può sembrare innocua, ma quel gruppo può essere utilizzato in centinaia di regole, con implicazioni di sicurezza non previste. Una soluzione NSPM è in grado di rilevare e persino prevenire questi errori altrimenti invisibili, che esporrebbero l'organizzazione agli attacchi.

Finché i firewall saranno necessari, una gestione efficace delle policy resterà essenziale. Lo conferma l'IDC InfoBrief Firewall Policy Management: The Foundation You Can Not Ignore.

La compliance non è facoltativa

Per molti anni i requisiti di compliance per la sicurezza di rete si sono limitati a imporre la presenza di un firewall. Le organizzazioni dei settori più regolamentati, come servizi finanziari, sanità e retail, hanno capito che un programma di sicurezza efficace richiede una gestione efficace delle policy e hanno esteso quei requisiti alla valutazione dell'efficacia delle policy applicate.

Tali requisiti comprendono controlli di change management che garantiscano la valutazione delle modifiche prima dell'implementazione, controlli di audit che ne assicurino la documentazione e una gestione continuativa del ciclo di vita delle regole per riesaminare periodicamente la necessità di business e l'accettazione del rischio legati a ciascun accesso. Si ritrovano in framework quali NIST 800-53, NIST CSF, PCI DSS 4.0, GDPR, DORA, NIS2 e altri.

La semplice presenza di un firewall non basta a costruire e mantenere un'azienda sicura e conforme. Serve una gestione efficace delle policy per garantire che i firewall applichino e monitorino correttamente le best practice di sicurezza di rete. Mantenere e documentare la conformità a questi framework richiede moltissimo tempo senza strumenti automatizzati che valutino e rendicontino in modo continuo configurazioni così complesse.

Continuous compliance significa verificare le modifiche proposte alla ricerca di non conformità prima del deployment e mantenere aggiornate le evidenze di audit tra una revisione e l'altra, invece di ricostruirle a ogni audit. Leggete il case study per scoprire come un'organizzazione ha ridotto dell'83% i tempi di preparazione degli audit di compliance.

I costi operativi della network security sono elevati

Con l'aumento della complessità di rete e sicurezza è cresciuto anche il costo di gestione di questi ambienti. Parallelamente, la velocità del business e dell'IT è aumentata con l'adozione di tecnologie quali virtualizzazione, cloud pubblico e infrastructure as code. Questa accelerazione mette la sicurezza sotto pressione, costringendola a muoversi più rapidamente.

Entrambe le sfide, costo operativo e velocità, si affrontano con l'automazione. Automatizzare le operation di network security va ben oltre l'automazione della modifica sul dispositivo (il "push"). Un'automazione efficace include:

• Semplificazione del processo di change request, per ridurne il numero e raccogliere meglio i requisiti.
• Automazione della fase di design, per individuare quali modifiche servono a ottenere il risultato desiderato.
• Automazione della valutazione pre-change, per consentire solo modifiche appropriate, sicure e conformi.
• Semplificazione del processo di approvazione, per approvare o respingere rapidamente le richieste di modifica.
• Automazione dell'implementazione della modifica entro finestre di change definite, senza passaggi di data entry soggetti a errore.
• Automazione del reporting di compliance continuativo.
• Semplificazione e automazione del processo di revisione delle regole.
• Automazione della dismissione delle regole non più necessarie.

La maggior parte dei team introduce l'automazione per fasi: parte dagli ambiti in cui ha già guadagnato fiducia, come la valutazione pre-change e il reporting di compliance, per poi estenderla.

Cosa valutare in una piattaforma NSPM

Le aziende che valutano fornitori NSPM dovrebbero verificare sei capacità. Ognuna risponde a un problema che i processi manuali non riescono a risolvere su larga scala.

Un ultimo criterio di valutazione: una buona piattaforma NSPM governa i firewall e i cloud control già in esercizio e non deve imporre la sostituzione delle tecnologie di enforcement esistenti.

FireMon Security Manager è il fondamento della piattaforma NSPM di FireMon. Normalizza le policy di oltre 120 piattaforme firewall, cloud e di microsegmentazione in un unico livello dati: i team ottengono così visibilità in tempo reale, validazione preventiva delle modifiche ed evidenze di compliance continue da un unico punto. I moduli aggiuntivi ne estendono le capacità con automazione dei workflow, ottimizzazione delle regole e analisi del rischio.

NSPM a confronto con le console di gestione native dei firewall

Console native come Panorama e FortiManager eccellono nella gestione della propria piattaforma. L'NSPM si colloca a un livello superiore e garantisce coerenza su tutto ciò che queste console non coprono.

In sintesi

Le sfide di network security management che nel 2004 hanno portato FireMon a creare l'NSPM sono cresciute con ogni nuovo firewall, account cloud e audit. Oggi l'NSPM è più determinante che in qualsiasi altro momento della sua storia. Per una definizione sintetica dei concetti fondamentali, consultate Che cos'è il Network Security Policy Management?