Zero trust per le PMI: cos’è e perché conviene adottarlo

Lo zero trust è un modello di sicurezza che verifica ogni accesso a dati e applicazioni aziendali, senza fiducia implicita, in cloud e da remoto.

Il lavoro fuori sede, le applicazioni in cloud e i dispositivi mobili hanno ampliato il perimetro delle reti aziendali. I dati di una PMI non risiedono più solo nei server dell’ufficio, ma anche nei gestionali in cloud, nella posta elettronica, nei dispositivi utilizzati dai collaboratori. In questo scenario, un modello di protezione basato sulla distinzione tra interno ed esterno della rete non è più sufficiente a coprire tutti i punti di accesso. L’approccio Zero Trust risponde a questa evoluzione introducendo un principio semplice: ogni richiesta di accesso deve essere verificata, indipendentemente dalla sua origine. Non implica necessariamente la sostituzione dell’infrastruttura esistente e può essere adottato progressivamente, anche da imprese che non dispongono di un reparto IT strutturato. Il modello si basa su alcuni principi fondamentali e può essere introdotto partendo da interventi concreti e graduali, in funzione delle e delle risorse dell’azienda.

Cos’è il modello zero trust

Un approccio alla sicurezza in cui nessun utente o dispositivo è considerato affidabile a priori. Ogni accesso a dati e applicazioni viene autenticato, autorizzato e registrato, anche quando proviene dall’interno della rete aziendale.

Zero Trust: modello di sicurezza informatica formulato dall’analista John Kindervag nel 2010, riassunto nella formula “mai fidarsi, verificare sempre”. Nessun accesso a rete, applicazioni o dati viene concesso senza una verifica esplicita di identità, dispositivo e contesto.

Il principio ha una conseguenza operativa precisa. L’identità diventa il nuovo perimetro. Non conta più da dove arriva la richiesta, ma chi la fa, con quale dispositivo e con quali permessi. Un collaboratore che apre il gestionale dalla sede segue lo stesso percorso di verifica di un consulente che si collega da un altro ufficio. Il controllo si applica a quattro ambiti dell’infrastruttura aziendale:

• Identità: ogni utente si autentica con credenziali verificate e, per gli account critici, con un secondo fattore di conferma.
• Dispositivi: accedono solo endpoint riconosciuti, aggiornati e conformi alle regole aziendali.
• Applicazioni e dati: i permessi seguono il ruolo di chi accede, non la sua posizione fisica.
• Rete: il traffico interno viene controllato con la stessa attenzione riservata a quello esterno.

In cosa si differenzia dalla sicurezza perimetrale tradizionale?

La sicurezza perimetrale tradizionale considera affidabile tutto ciò che si trova all’interno della rete aziendale. Superata la barriera del firewall, un intruso può muoversi tra i sistemi con pochi ostacoli. Il modello zero trust elimina questa fiducia implicita e chiede una verifica a ogni passaggio. Non sostituisce firewall e antivirus: aggiunge un livello di controllo sugli accessi che il solo perimetro non offre.

Perché lo zero trust riguarda anche le PMI

Le PMI italiane sono sempre più esposte agli attacchi informatici, mentre l’uso del cloud e il lavoro fuori sede ampliano i punti di accesso ai dati aziendali. Verificare ogni accesso aiuta a contenere il rischio legato alle credenziali compromesse e a limitare le conseguenze di eventuali intrusioni.

Per anni il tema è stato percepito come una questione da grandi imprese. I dati dicono altro. Le aziende di dimensioni ridotte hanno difese meno strutturate e per questo attirano attacchi automatizzati su larga scala, come mostrano i dati 2026 sugli attacchi informatici alle PMI. Il quadro normativo va nella stessa direzione. La direttiva NIS2 (Network and Information Security 2) estende i requisiti di gestione del rischio a molte imprese medie e alla loro catena di fornitura. Gli obblighi e le scadenze della NIS2 per le PMI richiedono particolare attenzione, soprattutto per quanto riguarda la gestione degli accessi e autenticazione a più fattori, tra le misure fondamentali per rafforzare la sicurezza aziendale.

Secondo il Cyber Index PMI 2025 degli Osservatori del Politecnico di Milano, circa 1 PMI italiana su 4 ha subito almeno un attacco informatico negli ultimi tre anni. La maturità media si ferma a 55 punti su 100. Solo il 30% delle imprese cifra i propri dati e appena l’11% gestisce le vulnerabilità in modo strutturato.

Quali attacchi sfruttano la fiducia implicita?

Phishing, furto di credenziali e movimento laterale sono le tecniche che traggono maggiore vantaggio da una rete senza controlli interni. Il punto di ingresso è quasi sempre la posta elettronica. Un solo clic su un collegamento contraffatto può compromettere credenziali valide e consentire all’attaccante di spostarsi tra sistemi e risorse alla ricerca di dati e backup. Per questo, email security per le PMI rappresenta un primo livello di protezione, da affiancare alla verifica continua degli accessi per impedire che una compromissione iniziale si trasformi in un attacco più esteso.

I tre principi della sicurezza zero trust

Verifica continua, privilegio minimo e microsegmentazione. Ogni sessione viene ricontrollata nel tempo, ogni utente accede solo a ciò che serve al suo ruolo e la rete è divisa in zone isolate tra loro.

I tre principi si applicano in modo indipendente. Un’azienda può introdurne uno alla volta, misurando i risultati. Insieme riducono la superficie esposta e contengono le conseguenze di un incidente. Un account compromesso non apre più l’intera rete, ma solo un segmento limitato.

• Verifica continua: l’autenticazione non avviene solo all’ingresso. Identità e dispositivo vengono ricontrollati durante la sessione, con MFA (Multi-Factor Authentication) sugli account amministrativi e sui servizi critici.
• Privilegio minimo: ogni utente e ogni applicazione ricevono i permessi strettamente necessari al proprio compito. Un account violato espone una porzione ridotta dei dati aziendali.
• Microsegmentazione: la rete viene divisa in zone separate. Un’intrusione nella rete ospiti non raggiunge il gestionale, i server o i backup.

ZTNA (Zero Trust Network Access): tecnologia che applica questi principi agli accessi remoti. Pubblica le singole applicazioni tramite un servizio che verifica identità e dispositivo a ogni connessione, senza esporre l’intera rete aziendale.

Zero trust e ZTNA sono la stessa cosa?

No. Il primo termine indica la strategia complessiva di sicurezza. Lo ZTNA è lo strumento tecnico che la applica al collegamento remoto verso le applicazioni. Un’azienda può adottare la strategia anche senza ZTNA, partendo da autenticazione e permessi; lo strumento diventa utile quando i collaboratori esterni e le sedi collegate aumentano.

Come introdurre lo zero trust in una PMI

L’adozione parte da cinque interventi a costo contenuto: inventario di utenti e sistemi, autenticazione a più fattori, revisione dei permessi, segmentazione della rete e monitoraggio degli accessi. Molte funzioni sono già incluse nelle piattaforme cloud in uso.

Il percorso non richiede un progetto unico né l’acquisto immediato di nuove piattaforme. Conviene procedere per gradi, partendo dagli interventi che riducono di più il rischio a parità di sforzo. Le verifiche nelle PMI partono spesso da un caso reale ricorrente: account di ex collaboratori o fornitori rimasti attivi dopo la fine del rapporto. Le suite di produttività e i gestionali in cloud già adottati dall’azienda includono quasi sempre autenticazione a più fattori, gestione dei ruoli e registri degli accessi. Attivarli è una scelta organizzativa prima che economica. Per la segmentazione della rete e il monitoraggio continuo, un partner IT esterno può affiancare il referente interno.

• Inventario di asset e utenti: censire dispositivi, applicazioni e account attivi, eliminando quelli inutilizzati.
• Autenticazione a più fattori: attivare la MFA su posta elettronica, gestionale e accessi amministrativi.
• Revisione dei permessi: assegnare a ogni account solo i privilegi necessari al ruolo, con revoca immediata per chi lascia l’azienda.
• Segmentazione della rete: separare rete ospiti, postazioni operative, server e dispositivi di produzione.
• Monitoraggio degli accessi: registrare chi accede a quali risorse e impostare avvisi sulle anomalie.

I cinque interventi non richiedono cinque strumenti separati. Il mercato offre piattaforme di sicurezza integrate che riuniscono in un unico ambiente protezione degli endpoint, controllo degli accessi alle applicazioni cloud, email security e monitoraggio della rete. Per una PMI con risorse IT limitate il vantaggio è concreto: una sola console di gestione, politiche di accesso ai dati uniformi e registrazione centralizzata degli eventi, con automazioni che gestiscono gran parte delle segnalazioni senza intervento manuale. La sicurezza dei dati resta così sotto controllo anche senza un team dedicato.

Secondo il Rapporto Clusit 2026, nel 2025 gli attacchi noti in Italia sono stati 507, in crescita del 42% rispetto al 2024. Phishing e social engineering sono aumentati del 66% a livello globale. La verifica sistematica degli accessi riduce l’efficacia proprio di queste tecniche.

La VPN aziendale va sostituita?

La VPN (Virtual Private Network) resta uno strumento valido per collegare il lavoro fuori sede ai sistemi dell’ufficio, ma da sola non basta. Cifra il canale di comunicazione, non verifica cosa accade dopo la connessione. Il primo passo è affiancarle MFA e permessi per ruolo. Nelle realtà con molti accessi esterni, lo ZTNA può sostituirla nel tempo per le applicazioni pubblicate.

I vantaggi dello zero trust per un’azienda fino a 50 addetti

Un’impresa che verifica ogni accesso limita i danni delle intrusioni. Dimostra più facilmente la conformità a NIS2 e GDPR (General Data Protection Regulation) e rende il lavoro fuori sede sicuro quanto quello in sede.

Il beneficio principale è la riduzione dell’impatto. Un incidente resta confinato a un segmento e a un insieme limitato di dati, con tempi di ripristino più brevi e costi inferiori. Il secondo vantaggio riguarda la conformità. Registri degli accessi e permessi documentati semplificano audit e adempimenti normativi. Il terzo è operativo, perché collaboratori e consulenti lavorano da sedi diverse senza aprire varchi nella rete. Questi controlli dialogano di continuo con servizi in cloud. Per funzionare bene richiedono una connettività stabile e correttamente dimensionata, a partire da una verifica della copertura della sede aziendale. Il modello rappresenta un tassello di una strategia più ampia di sicurezza informatica per le PMI, che integra tecnologie, controlli e processi per proteggere dati e sistemi aziendali.

Autenticazione a più fattori e revisione dei permessi rappresentano un punto di partenza efficace, con un buon rapporto tra costi di implementazione e riduzione del rischio.

Domande frequenti delle PMI sullo zero trust