In breve:
Perché il perimetro non basta più a contenere il movimento laterale
La Zero Trust Segmentation nasce da una constatazione operativa: quando un attaccante supera il perimetro, il rischio più serio non riguarda soltanto il primo sistema compromesso. Il problema nasce quando può spostarsi da un server all’altro, raggiungere applicazioni critiche e ampliare l’impatto dell’incidente. Firewall, sistemi di rilevamento e protezioni degli endpoint restano indispensabili, ma governano soprattutto ciò che entra e ciò che esce.
Il traffico est-ovest è il punto cieco
Negli ambienti moderni applicazioni e dati sono distribuiti tra data center, cloud pubblici e infrastrutture ibride. Il traffico interno, quello che tecnicamente viene definito est-ovest, attraversa questi ambienti senza passare da un punto di controllo unico. Se resta poco visibile o governato con regole troppo ampie, una credenziale compromessa o un singolo workload vulnerabile diventano il punto di partenza per un attacco più esteso.
Contenimento, non solo prevenzione
La cyber resilience richiede anche capacità di contenimento. L’obiettivo realistico consiste nel limitare il raggio d’azione dell’attaccante, isolare rapidamente i sistemi coinvolti e mantenere operative le componenti non compromesse. È esattamente lo spazio in cui interviene la segmentazione applicata ai workload.
Che cosa cambia con la microsegmentazione Zero Trust?
La microsegmentazione applica il principio del minimo privilegio alle comunicazioni tra sistemi. Un workload non viene considerato affidabile soltanto perché si trova all’interno della rete aziendale.
Minimo privilegio applicato ai workload
Ogni workload può comunicare esclusivamente con le applicazioni e i servizi necessari al proprio funzionamento, secondo policy definite e verificabili. Tutto il resto viene chiuso per impostazione predefinita. Questo riduce i percorsi disponibili per un attaccante e trasforma la superficie interna da campo aperto a insieme di corridoi stretti e dichiarati.
Policy coerenti tra on-premise e cloud
Il controllo si applica vicino al workload e non all’apparato di rete. Ne consegue che la stessa policy può seguire l’applicazione che si sposta dal data center al cloud pubblico, senza dover riprogettare indirizzi, VLAN e zone di rete. La segmentazione diventa un controllo applicativo, coerente tra ambienti diversi.
Visibilità prima dell'enforcement
Il passaggio che distingue un progetto riuscito da uno bloccato è la conoscenza delle dipendenze reali. Prima di applicare qualsiasi regola occorre vedere quali flussi esistono davvero tra applicazioni, server e ambienti. Applicare policy senza questa mappa è il modo più rapido per interrompere flussi legittimi e far fallire l’iniziativa al primo incidente operativo.
Come funziona Illumio?
La soluzione proposta da AD Consulting utilizza Illumio per costruire e governare le policy di Zero Trust Segmentation.
Il Virtual Enforcement Node sui sistemi Linux e Windows
Su sistemi Linux e Windows viene installato il Virtual Enforcement Node, un agente software che raccoglie contesto e telemetria e applica le regole definite centralmente. L’agente può essere integrato anche nelle immagini utilizzate per il provisioning dei nuovi sistemi, così che ogni workload nasca già governato dalle policy.
La mappa delle dipendenze applicative
La componente centrale fornisce una mappa delle comunicazioni tra applicazioni, server e ambienti cloud. Questa visibilità consente di comprendere le dipendenze reali prima di applicare le policy, riducendo il rischio di bloccare flussi legittimi. Le regole già distribuite continuano inoltre a operare localmente anche in caso di temporanea indisponibilità della piattaforma di gestione.
Erogazione da Private Cloud AD Consulting o on-premise
L’architettura può essere erogata attraverso la Private Cloud AD Consulting in Italia, censita nel Catalogo ACN con riferimento IN-3243, oppure installata on-premise quando il contesto lo richiede. Configurazione, rollout e monitoraggio delle policy vengono gestiti dagli specialisti AD Consulting.
Segmentazione di rete tradizionale e Zero Trust Segmentation a confronto
Le due impostazioni perseguono lo stesso obiettivo, separare ciò che non deve comunicare, ma intervengono in punti diversi dell’infrastruttura e hanno conseguenze operative molto differenti.
| Dimensione | Segmentazione di rete tradizionale | Zero Trust Segmentation |
|---|---|---|
| Dove si applica il controllo | Su firewall, VLAN e apparati di rete | Via software sul singolo workload, Windows e Linux |
| Unità di segmentazione | Subnet, VLAN, zona di rete | Applicazione, ambiente, singolo workload |
| Visibilità dei flussi | Ricavata dai log degli apparati, spesso parziale | Mappa delle dipendenze applicative prima dell'enforcement |
| Impatto sull'infrastruttura | Richiede riprogettazione di indirizzi e zone di rete | Nessuna sostituzione di firewall, switch o server |
| Copertura degli ambienti | Difficile da estendere a cloud pubblico e ibrido | Modello coerente tra data center, cloud e ambienti ibridi |
| Se la gestione centrale non risponde | Le regole restano sugli apparati | Le policy già distribuite continuano a operare localmente |
| Isolamento di un asset | Dipende dal change management sugli apparati | Applicazione di una policy direttamente sul workload |
Zero Trust Segmentation e misure tecniche NIS2
La microsegmentazione non nasce come adempimento normativo, ma si colloca con precisione dentro le misure tecniche che la NIS2 richiede.
Cosa chiede il D.Lgs. 138/2024
Il D.Lgs. 4 settembre 2024, n. 138 richiede ai soggetti essenziali e importanti misure tecniche, operative e organizzative adeguate e proporzionate al rischio. Gli organi di amministrazione e direttivi devono approvarne le modalità di implementazione, sovrintendere agli obblighi e ricevere informazioni periodiche sugli incidenti. Il decreto recepisce in Italia la direttiva NIS .
Le scadenze secondo le Linee Guida ACN
Le scadenze non coincidono con una data unica per tutte le organizzazioni. Secondo le Linee Guida ACN aggiornate ad aprile 2026, i soggetti inseriti nell’elenco NIS nel 2025 devono adottare le misure di sicurezza di base entro diciotto mesi dalla comunicazione di inserimento e attivare gli obblighi di notifica entro nove mesi dalla stessa comunicazione. Per i soggetti inseriti per la prima volta nel 2026 i termini indicati sono il 31 luglio 2027 per le misure di sicurezza e il 1° gennaio 2027 per la notifica degli incidenti significativi.
Cosa copre la segmentazione e cosa no
La microsegmentazione può contribuire a prevenire o ridurre l’impatto degli incidenti, migliorare il controllo degli accessi tra sistemi e produrre evidenze sulle policy applicate. Non esaurisce da sola la conformità, che comprende anche governance, gestione del rischio, incident response, continuità operativa, sicurezza della supply chain e formazione. Chi sta costruendo il percorso completo trova il quadro degli adempimenti nella guida pratica alla compliance NIS2.
Il Cyber Resilience Act dall'11 settembre 2026
In parallelo, dall’11 settembre 2026 il Cyber Resilience Act applica ai produttori di prodotti con elementi digitali gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi. Il quadro europeo rende quindi sempre più importante dimostrare non soltanto la capacità di prevenire, ma anche quella di rilevare, contenere e comunicare gli incidenti.
Un percorso progressivo in tre fasi
La segmentazione funziona quando parte dalla conoscenza dell’ambiente. Un progetto impostato come riscrittura totale delle regole di comunicazione produce quasi sempre resistenza operativa e rinvii.
Fase 1. Assessment della topologia e dei rischi
Il primo passaggio ricostruisce la topologia e i rischi di movimento laterale sui workload critici: quali sistemi comunicano con quali, quali percorsi collegano i servizi esposti agli asset di valore, dove si concentrano le dipendenze non documentate.
Fase 2. Pilota su un perimetro limitato
Segue un pilota su un perimetro circoscritto, utile per validare visibilità, dipendenze e policy senza impatti sull’operatività. In questa fase le regole possono essere osservate prima di essere applicate, misurando quante comunicazioni non necessarie verrebbero effettivamente rimosse.
Fase 3. Estensione progressiva
Solo dopo questa verifica il modello viene esteso al resto dell’infrastruttura. Il metodo consente di ottenere valore già nelle prime fasi e di costruire le regole sulla base dei flussi reali, evitando progetti di segmentazione troppo rigidi o scollegati dal funzionamento delle applicazioni.
Il ruolo del system integrator nella Zero Trust Segmentation
La differenza tra una piattaforma acquistata e una segmentazione che funziona sta quasi sempre nel percorso, non nella tecnologia. Servono la lettura delle dipendenze applicative, la capacità di dire quali flussi possono essere chiusi senza fermare un processo di business e un presidio che accompagni il passaggio dalle regole osservate a quelle applicate.
AD Consulting affianca le organizzazioni su questo percorso integrando la segmentazione con le altre misure di sicurezza già in essere, dal monitoraggio continuo gestito dal Security Operation Center fino agli adempimenti seguiti dai servizi di Governance, Risk & Compliance.
Vuoi sapere quali percorsi collegano oggi i tuoi sistemi esposti agli asset critici? AD Consulting propone un assessment gratuito per analizzare i workload più critici, individuare i principali percorsi di movimento laterale e definire un perimetro pilota per la Zero Trust Segmentation.
Richiedi l’assessment.
FAQ: domande frequenti
Che cos'è la Zero Trust Segmentation?
La Zero Trust Segmentation è una misura tecnica di sicurezza che applica il principio del minimo privilegio alle comunicazioni tra workload. Un server o un’applicazione non viene considerato affidabile per il solo fatto di trovarsi dentro la rete aziendale: può comunicare esclusivamente con i sistemi necessari al proprio funzionamento, secondo policy esplicite e verificabili. L’obiettivo è ridurre i percorsi disponibili a un attaccante che abbia già ottenuto un primo accesso.
Qual è la differenza tra microsegmentazione e segmentazione di rete tradizionale?
La segmentazione tradizionale separa la rete in subnet, VLAN e zone governate da firewall e apparati. La microsegmentazione applica il controllo via software direttamente sul singolo workload, con l’applicazione come unità di segmentazione anziché il segmento di rete. La conseguenza pratica è che non richiede di riprogettare indirizzi e zone e che la stessa policy resta valida quando l’applicazione si sposta tra data center e cloud.
La Zero Trust Segmentation richiede di sostituire firewall e apparati di rete?
No. Il controllo si applica via software ai workload già presenti, quindi non comporta la sostituzione generalizzata di firewall, switch o server. Le protezioni perimetrali esistenti restano in funzione e continuano a governare il traffico in ingresso e in uscita, mentre la segmentazione interviene sulle comunicazioni interne tra sistemi.
La microsegmentazione basta per la conformità NIS2?
No. La microsegmentazione copre una parte delle misure tecniche NIS2, in particolare il controllo degli accessi tra sistemi, la prevenzione della propagazione degli incidenti e la produzione di evidenze sulle policy applicate. La conformità richiede però anche governance, gestione del rischio, incident response, continuità operativa, sicurezza della supply chain e formazione del personale.
Quanto tempo richiede un progetto di Zero Trust Segmentation?
Non esiste una durata standard, perché dipende dal numero di workload critici e dalla qualità della documentazione esistente sulle dipendenze applicative. L’approccio per fasi consente però di ottenere il primo risultato utile già con l’assessment, che restituisce la mappa dei percorsi di movimento laterale prima ancora che venga applicata una sola policy.
Fonti e riferimenti
- Direttiva (UE) 2022/2555 (NIS 2), 2022. Quadro europeo sulle misure per un livello comune elevato di cibersicurezza nell’Unione.
- Lgs. 4 settembre 2024, n. 138. Recepimento italiano della direttiva NIS 2: obblighi per soggetti essenziali e importanti e responsabilità degli organi di amministrazione.
- ACN, Linee Guida NIS, aggiornamento aprile 2026. Termini per l’adozione delle misure di sicurezza di base e per l’attivazione degli obblighi di notifica.
- Commissione europea, Cyber Resilience Act. Obblighi di segnalazione delle vulnerabilità attivamente sfruttate applicabili dall’11 settembre 2026.
- Catalogo ACN, AD Consulting Private Cloud, riferimento IN-3243. Censimento del servizio cloud qualificato utilizzato per l’erogazione della componente centrale.