L’Office of Management and Budget (OMB) e la Cybersecurity Infrastructure Security Agency (CISA) hanno affermato che il governo federale degli Stati Uniti “non può più dipendere da difese basate sul perimetro per mantenere i suoi sistemi critici e i dati al sicuro”. Per questo motivo hanno rilasciato un memorandum che delinea un obiettivo molto aggressivo: far adottare a tutte le agenzie federali un’architettura di sicurezza zero trust entro il 2024. Il memorandum cerca di fornire chiarezza e un percorso per le agenzie federali a sostegno dei recenti ordini esecutivi legati alla sicurezza da parte della Casa Bianca, tra cui l’EO del maggio 2021 che impone alle agenzie federali di utilizzare l’autenticazione a più fattori (2FA) e la crittografia end-to-end.
Il memorandum dell’OMB e della CISA richiede alle agenzie federali di soddisfare specifici obiettivi di sicurezza zero trust relativi a identità, dispositivi, reti, applicazioni e dati entro la fine dell’anno fiscale 2024. Questi obiettivi si allineano con i cinque pilastri del modello di maturità zero-trust della Cybersecurity and Infrastructure Security Agency (CISA):
- Identità: Le agenzie federali devono implementare una soluzione single sign-on (SSO), usare 2FA “resistenti al phishing”, e “adottare politiche di password sicure e controllare le password rispetto ai dati noti violati.”
- Dispositivi: Il governo federale deve mantenere “un inventario completo di ogni dispositivo che gestisce e autorizza per l’uso governativo” e gestire il rilevamento degli incidenti e la risposta per quei dispositivi.
- Reti: Le agenzie federali devono crittografare tutte le richieste DNS e il traffico HTTP, segmentare le loro reti e crittografare le e-mail in transito.
- Applicazioni: Le agenzie federali devono trattare tutte le applicazioni come se fossero collegate a Internet, condurre test di routine e “rigorosi”, e accettare segnalazioni di vulnerabilità esterne.
- Dati: le agenzie federali devono seguire un “percorso chiaro e condiviso per implementare protezioni che utilizzino una categorizzazione completa dei dati”, utilizzare soluzioni di sicurezza cloud per monitorare l’accesso ai dati sensibili e implementare “registrazione e condivisione delle informazioni a livello aziendale”.
Come Keeper può aiutare le agenzie governative a raggiungere il modello Zero Trust
Come unico fornitore di soluzioni per la gestione delle password disponibile sul marketplace FedRAMP, la piattaforma di gestione delle password e di cybersicurezza aziendale zero-trust and zero-knowledge Keeper è la soluzione perfetta per le agenzie governative federali per soddisfare tutti i requisiti di identità del memorandum OMB. Diamo un’occhiata:
Keeper la piattaforma Enteprise Password Management (EPM)
Keeper permette agli amministratori IT di implementare e applicare politiche di password forti in tutta la loro organizzazione. Utilizzando la console di amministrazione di Keeper, gli amministratori possono personalizzare la complessità delle password per soddisfare i requisiti del governo federale e possono automatizzare le politiche relative alle modalità di gestione delle password all’interno delle applicazioni, come SSO e 2FA.
I controlli di accesso dettagliati permettono agli amministratori di impostare le autorizzazioni dei dipendenti in base ai loro ruoli e responsabilità, impostare cartelle condivise in modo sicuro per i dipartimenti o i gruppi e consentire una condivisione sicura, granulare e controllata di credenziali e cassette di sicurezza tra dipendenti e team. Keeper supporta il controllo degli accessi basato sui ruoli (RBAC), l’auditing, il reporting degli eventi e gli standard di conformità tra cui GDPR e ISO 27001.
Keeper Secure File Storage (SFS)
A supporto dei requisiti dell’OMB per la condivisione delle informazioni a livello aziendale, Keeper SFS consente la condivisione efficiente e sicura dei file archiviati con altri utenti di Keeper. Proprio come le password memorizzate in Keeper, gli utenti possono impostare i permessi di condivisione per i file digitali (sola lettura, modifica, condivisione o modifica e condivisione).
Keeper utilizza PBKDF2 per ricavare le chiavi di autenticazione in base alla password principale dell’utente, quindi genera chiavi di crittografia AES-256 per crittografare ogni file archiviato. Il cloud di Keeper contiene solo il testo crittografato di ciascun file e la condivisione tra utenti viene eseguita utilizzando PKI per garantire che solo il destinatario di un file condiviso possa decrittarlo. I metodi di crittografia zero-knowledge di Keeper assicurano che solo l’utente possa accedere e decifrare i file archiviati.
Keeper SSO Connect
Sebbene alcuni identity providers SSO (IdP) forniscano strumenti di gestione delle password di base per i siti web che non utilizzano SAML, questi strumenti sono in genere di proprietà di ciascun IdP, potrebbero non essere compatibili con ogni ambiente di dati o stack tecnologico e potrebbero non utilizzare un’architettura di sicurezza zero-knowledge. Keeper SSO Connect colma queste lacune di sicurezza e funzionalità, consentendo alle agenzie governative di estendere facilmente e senza soluzione di continuità le proprie implementazioni SSO con Keeper.
Keeper SSO Connect è una soluzione SaaS SAML 2.0 completamente gestita che può essere distribuita su qualsiasi istanza o in qualsiasi ambiente Windows, Mac OS o Linux, nel cloud o on-premise. Si integra facilmente e perfettamente con tutte le piattaforme IdP SSO più diffuse, tra cui Microsoft 365, Azure, ADFS, Okta, Ping, JumpCloud, Centrify, OneLogin e F5 BIG-IP APM.
Keeper SSO Connect non richiede alcun servizio on-premises o cloud-hosted del cliente, né alcun software o attrezzatura aggiuntiva. L’installazione avviene in due semplici passi:
- Configurare SSO Connect nella console di amministrazione di Keeper.
- Abilitare e configurare l’applicazione Keeper all’interno dell’IdP.
Keeper BreachWatch™
A sostegno del requisito dell’OMB “controllare le password rispetto ai dati noti violati”, Keeper BreachWatch esegue la scansione dei forum del Dark Web e informa gli amministratori IT se le password dei dipendenti sono state compromesse in una violazione dei dati pubblici.
Keeper richiede solo pochi minuti per l’implementazione, una gestione minima e si adatta alle esigenze di reparti o agenzie di qualsiasi dimensione.
Fonte: Keeper Security