BullTech Informatica, MSP con sede a Vimercate (MB) dal 2009, implementa architetture Zero Trust per PMI lombarde con un percorso in 7 step e un budget tipico di €9.000-21.000 di setup. Zero Trust è diventato la parola d'ordine nel mondo della cybersecurity, ma cosa significa concretamente per una PMI italiana? Non è un prodotto che compri e installi, ma un cambio di mentalità nella gestione degli accessi ai sistemi aziendali. In questa guida ti spiego come implementare i principi Zero Trust nella tua azienda, passo dopo passo, senza spendere fortune né bloccare i tuoi dipendenti.
In breve — Zero Trust in 60 secondi
Zero Trust non è un prodotto: è un modello in cui ogni accesso viene verificato, anche dall'interno della rete. In una PMI da 20-50 dipendenti si implementa in 7 step (inventario risorse, MFA ovunque, minimo privilegio, Conditional Access, segmentazione, ZTNA, monitoraggio), con €9.000-21.000 di setup e €300-850 al mese nel 2026. È anche un requisito di fatto per la compliance NIS2.
Indice dei Contenuti
Che Cos'è lo Zero Trust (Spiegato Semplicemente)
Il modello tradizionale di sicurezza si basa sul concetto di 'perimetro': c'è una rete aziendale 'sicura' (dentro l'ufficio o collegata via VPN) e tutto il resto è 'esterno' e potenzialmente pericoloso. Una volta che sei dentro il perimetro, hai accesso a tutto. È come un castello con mura alte: difficile entrare, ma una volta dentro sei libero di muoverti.
Lo Zero Trust capovolge questo approccio: non esiste più 'dentro' e 'fuori', ma solo verifiche continue. Ogni richiesta di accesso a qualsiasi risorsa deve essere autenticata, autorizzata e cifrata, indipendentemente da dove proviene. È come avere un buttler che chiede i documenti ogni volta che vuoi entrare in una stanza diversa, anche se sei già in casa.
Il mantra dello Zero Trust
"Non fidarti mai, verifica sempre"
Never trust, always verify
I Tre Principi Fondamentali dello Zero Trust
Per implementare Zero Trust nella tua azienda, devi applicare tre principi a ogni accesso ai tuoi sistemi:
1. Verifica Esplicita
Autentica e autorizza ogni accesso basandoti su tutte le informazioni disponibili: identità dell'utente, dispositivo utilizzato, posizione geografica, ora della richiesta, comportamento anomalo. Non basta più username e password.
2. Minimo Privilegio
Ogni utente ha accesso solo alle risorse strettamente necessarie per il proprio lavoro, e solo per il tempo necessario. L'amministratore di sistema non ha accesso automatico ai dati HR, il commerciale non vede i file della contabilità.
3. Assume Breach
Progetta il sistema assumendo che una violazione sia già avvenuta o avverrà. Segmenta la rete, limita il 'blast radius' di un attacco, monitora continuamente per rilevare anomalie. Se un account viene compromesso, il danno è contenuto.
Vantaggi Concreti per la PMI
Perché una PMI dovrebbe adottare Zero Trust? Ecco i benefici pratici che vedrai subito:
- Smart working sicuro — I dipendenti possono lavorare da casa o in viaggio senza che tu debba aprire la rete aziendale con VPN che rallentano tutto
- Protezione dal phishing — Anche se un dipendente viene ingannato e compromette le sue credenziali, l'attaccante non ha accesso automatico a tutto
- Compliance semplificata — NIS2 e GDPR richiedono controlli di accesso rigorosi: Zero Trust li implementa per design
- Visibilità completa — Sai esattamente chi accede a cosa, da dove, quando
- Onboarding/offboarding veloce — Attivare o disattivare accessi diventa istantaneo e sicuro
Zero Trust per la Compliance NIS2
La direttiva NIS2 (recepita in Italia e obbligatoria per aziende medie e grandi di settori critici, ma sempre più richiesta anche lungo le supply chain delle PMI fornitrici) impone controllo rigoroso degli accessi, autenticazione forte e segmentazione della rete per limitare la propagazione di un incidente. Non è un caso che questi siano esattamente i tre principi dello Zero Trust: verifica esplicita, minimo privilegio e assume breach.
Chi implementa Zero Trust non "fa NIS2", ma copre buona parte dei controlli tecnici richiesti dalla direttiva: MFA su tutti gli accessi, segmentazione di rete, monitoraggio continuo e log degli accessi sono requisiti NIS2 e al tempo stesso i pilastri Zero Trust che abbiamo visto sopra. Per una PMI che deve dimostrare adeguatezza a un cliente enterprise o a un ente di settore critico, partire dallo Zero Trust è spesso la via più rapida per arrivare pronti alla compliance. Approfondisci nella nostra pagina dedicata all'adeguamento NIS2, oppure valuta un percorso completo di sicurezza informatica per PMI che integra Zero Trust, NIS2 e protezione degli endpoint in un'unica strategia.
Step di Implementazione Pratica
Non devi fare tutto in una volta. Ecco un piano graduale di implementazione Zero Trust per una PMI, lo stesso che seguiamo nei nostri progetti di architettura Zero Trust dal 2009:
Inventaria le tue risorse
Cosa devi proteggere? Email, file server, applicazioni cloud, database, stampanti? Chi vi accede e da dove?
Implementa MFA ovunque
L'autenticazione a due fattori è il primo pilastro dello Zero Trust: attivala su email, cloud, VPN e applicativi critici seguendo la nostra guida all'MFA aziendale.
Mappa gli accessi attuali
Chi ha accesso a cosa? Probabilmente scoprirai che molti utenti hanno privilegi inutili. Riduci al minimo indispensabile.
Configura Conditional Access
Se usi Microsoft 365 o Google Workspace, attiva le regole di accesso condizionato: richiedi MFA, blocca accessi da paesi sospetti, richiedi dispositivi conformi.
Segmenta la rete
Separa le reti: ospiti, produzione, amministrazione, server. Se un segmento viene compromesso, gli altri sono al sicuro.
Implementa ZTNA per accesso remoto
Sostituisci o affianca la VPN tradizionale con ZTNA: accesso solo alle applicazioni specifiche, non a tutta la rete.
Monitora e affina
Zero Trust non è 'set and forget'. Monitora gli accessi, analizza i log, affina le regole in base ai comportamenti reali.
Strumenti e Tecnologie per lo Zero Trust
Non serve reinventare la ruota. Molti strumenti che già usi (o che potresti usare) supportano Zero Trust:
Se usi Microsoft 365
- Azure AD (Identity)
- Conditional Access
- Microsoft Defender for Endpoint
- Microsoft Intune (MDM)
Soluzioni ZTNA dedicate
- Cloudflare Access
- Zscaler Private Access
- Cisco Duo Beyond
- Perimeter 81
Costi e ROI dell'Implementazione Zero Trust
I costi variano in base alla complessità della tua infrastruttura e agli strumenti già in uso. Ecco una stima per una PMI da 20-50 dipendenti:
| Componente | Costo setup | Costo mensile |
|---|---|---|
| MFA su tutti i servizi | €500-1.000 | €0-50 (licenze incluse) |
| Conditional Access (Microsoft) | €1.000-2.000 | €0 (incluso in M365 Business Premium) |
| ZTNA base | €2.000-5.000 | €200-500 |
| Segmentazione rete | €1.500-3.000 | €0 |
| Monitoraggio e logging | €1.000-2.000 | €100-300 |
| Consulenza implementazione | €3.000-8.000 | €0 |
| Totale indicativo | €9.000-21.000 | €300-850 |
Il ROI si misura in incidenti evitati: un singolo data breach costa in media €43.000 per una PMI. Inoltre, lo Zero Trust semplifica il lavoro IT quotidiano (meno password reset, accessi più fluidi) e prepara l'azienda alla compliance NIS2, che richiede proprio controllo degli accessi e autenticazione forte. Se vuoi partire dalle basi, leggi anche la guida su MFA e autenticazione a due fattori e la pagina sui servizi di sicurezza informatica per PMI.
Domande Frequenti
Cos'è esattamente lo Zero Trust in parole semplici?
Zero Trust significa 'non fidarti mai, verifica sempre'. Invece di dare accesso a tutto una volta che sei dentro la rete aziendale (come un castello con mura alte ma libertà totale all'interno), ogni accesso a ogni applicazione richiede autenticazione e autorizzazione specifica. È come avere un buttler che chiede i documenti ogni volta che entri in una stanza diversa, anche se sei già in casa.
La mia PMI piccola ha davvero bisogno di Zero Trust?
Dipende. Se hai smart working, usi servizi cloud (Microsoft 365, Google Workspace), o hai dipendenti che accedono da fuori ufficio, allora sì, i principi Zero Trust ti proteggono meglio di una VPN tradizionale. Non devi implementare tutto: puoi iniziare con MFA su tutti gli accessi e il principio del minimo privilegio. Il vero 'Zero Trust enterprise' è per grandi aziende, ma i principi base sono utili a tutti.
Quanto costa implementare Zero Trust in una PMI?
I costi variano enormemente. Una implementazione base (MFA ovunque, condizional access, segmentazione semplice) può costare €2.000-5.000 di setup + €200-500/mese di licenze. Una implementazione completa con ZTNA dedicato, micro-segmentazione e CASB può arrivare a €15.000-30.000 + €1.000-2.000/mese. La buona notizia: se usi Microsoft 365, hai già molti strumenti Zero Trust inclusi (Azure AD, Conditional Access) che stai probabilmente sottoutilizzando.
Zero Trust sostituisce la VPN?
In molti casi sì, ma non necessariamente. Lo ZTNA (Zero Trust Network Access) è considerato l'evoluzione della VPN: invece di darti accesso a tutta la rete, ti dà accesso solo alle specifiche applicazioni di cui hai bisogno, con verifica continua. Alcune aziende mantengono VPN per casi specifici (amministratori di sistema, accesso a legacy systems) ma usano ZTNA per la maggior parte degli utenti. La tendenza è di sostituire la VPN tradizionale con ZTNA.
Quanto tempo richiede l'implementazione?
Una implementazione base (MFA + condizional access) può essere fatta in 2-4 settimane. Una transizione completa a Zero Trust richiede tipicamente 6-12 mesi, fatto a fasi. Consigliamo sempre un approccio graduale: inizia con le applicazioni più critiche, poi estendi. Non tentare il 'big bang' che rischia di bloccare gli utenti legittimi e creare resistenze.
Lo Zero Trust non è un progetto da completare in un weekend, ma un viaggio che rende la tua azienda più sicura ogni giorno. Inizia con i fondamentali (MFA, minimo privilegio) e costruisci da lì. Contattaci per una valutazione gratuita della tua architettura di accesso: ti aiuteremo a identificare le priorità e pianificare un'implementazione graduale che non blocchi il tuo business.