Zero Trust vs VPN: il costo reale del passaggio

La proposta commerciale di Zero Trust include quasi invariabilmente la promessa che sarà più economico di una VPN. A volte è vero, ma non nei primi due anni, non per i team piccoli e non senza considerare i costi di migrazione che raramente compaiono sui fogli di calcolo iniziali. Per effettuare un'analisi onesta è necessario separare il costo della licenza dal costo operativo totale e il costo operativo ricorrente dal costo di transizione una tantum.

Quanto costa davvero una VPN tradizionale

Il costo di una VPN aziendale ben gestita comprende tre componenti che raramente vengono sommati insieme. Il primo è l'hardware concentratore VPN o VM: le apparecchiature Cisco ASA o Palo Alto GlobalProtect Gateway per ambienti medi costano tra R$ 25.000 e R$ 250.000, ammortizzate in 3-5 anni. Il secondo è la licenza del cliente: Cisco AnyConnect e GlobalProtect addebitano tra $ 15 e $ 25 per utente all'anno; per 200 utenti, si tratta di 3.000-5.000 dollari all'anno solo per il software client.

Il terzo – e spesso sottovalutato – è il costo operativo. La VPN richiede la rotazione dei certificati, la gestione delle versioni client su dispositivi eterogenei, il mantenimento delle regole del tunnel diviso quando vengono creati nuovi servizi interni e la gestione della capacità dell'hub quando il numero di sessioni simultanee aumenta. Per un team di 100 utenti, stime prudenti collocano questo sovraccarico tra le 10 e le 15 ore di progettazione al mese. Per 100 utenti, il TCO di una VPN ben gestita è compreso tra $ 15.000 e $ 25.000 all'anno, considerando l'hardware, le licenze e i tempi di progettazione ammortizzati.

Quanto costa davvero Cloudflare Zero Trust

Il piano Team di Cloudflare Zero Trust costa $ 7 per utente al mese. Per 100 utenti, si tratta di 8.400 dollari all'anno di licenza, al di sotto del TCO della VPN, anche senza contare il tempo di progettazione risparmiato. Per 500 utenti, si tratta di 42.000 dollari all'anno, con la possibilità di effettuare scambi inferiori a 7 dollari su volumi superiori a 200. Il piano include Accesso, Tunnel, WARP e Gateway con log: nessun hardware da ammortizzare.

Il costo di implementazione iniziale cambia l’equazione nel primo anno. Una distribuzione di media complessità (da tre a otto applicazioni interne, integrazione con Okta o Azure AD, implementazione WARP tramite MDM su 100 dispositivi) richiede dalle 40 alle 80 ore di progettazione. Aggiungendo l’implementazione alla licenza del primo anno, il costo totale per 100 utenti è compreso tra $ 14.000 e $ 22.000, paragonabile al TCO di una VPN. Dal secondo anno in poi, senza costi di implementazione e con minori costi operativi, il vantaggio economico di Zero Trust diventa concreto.

I costi nascosti della migrazione

La migrazione della VPN a Zero Trust comporta costi che i progetti ottimistici omettono. Il periodo di funzionamento parallelo è il primo: durante la migrazione, la vecchia VPN continua a funzionare mentre le applicazioni vengono migrate una ad una su Access. Per le organizzazioni con molte applicazioni interne, questo periodo può durare sei mesi o più, pagando contemporaneamente VPN e Cloudflare.

Il secondo costo riguarda le applicazioni che dipendono dalla lista consentita degli IP. Qualsiasi servizio che accetta connessioni solo da intervalli IP specifici (database configurati per accettare solo l'IP concentratore VPN, API interne che controllano l'IP di origine) rompe il modello Zero Trust, in cui l'IP di origine è l'edge di Cloudflare. La correzione prevede l'aggiornamento della lista consentita o l'implementazione dei token di servizio. Fare l'inventario di queste dipendenze prima di iniziare la migrazione è essenziale: scoprirle durante il processo è costoso.

Il terzo costo è la formazione. Gli utenti che chiamano l'assistenza chiedendo "la VPN non funziona" dopo la migrazione non sono un problema IT: è un segno che la comunicazione della modifica non è riuscita. È necessario prevedere un budget per lo sforzo di documentazione e comunicazione per gli utenti finali, soprattutto nelle organizzazioni con utenti non tecnici.

Quando la migrazione non ha senso

Per i team con meno di 20 persone e una configurazione VPN semplice e stabile (tunnel diviso di base, pochi servizi interni, hardware già pagato) lo sforzo di migrazione a Zero Trust è raramente giustificato dal ritorno finanziario. Il guadagno in termini di sicurezza è reale, ma i costi di implementazione distribuiti su pochi utenti e la bassa complessità dell'ambiente rendono il ROI negativo su un orizzonte di due o tre anni.

La migrazione non è inoltre giustificata per le organizzazioni con un numero elevato di applicazioni client pesanti che richiedono l'accesso a sottoreti interne specifiche e non possono essere sottoposte a refactoring su un modello di accesso al nome host. I sistemi ERP legacy e gli strumenti di progettazione che accedono direttamente alle apparecchiature tramite IP continuano a richiedere un accesso alla rete che il modello Zero Trust per applicazione non può sostituire senza modifiche significative all'applicazione.

L'argomento della sicurezza con un reale valore finanziario

Il costo di un incidente per credenziale VPN compromessa è la variabile che trasforma l'analisi. La VPN garantisce l'accesso alla rete dopo l'autenticazione: le credenziali rubate significano accesso laterale illimitato alla rete interna. Zero Trust garantisce l'accesso per applicazione: le credenziali compromesse raggiungono solo le applicazioni esplicitamente autorizzate per tale identità, con il controllo dello stato del dispositivo come controllo aggiuntivo.

Ai fini del controllo (SOC 2, ISO 27001, HIPAA) i log di accesso sono qualitativamente superiori ai log di connessione VPN. Ogni evento registra utente, applicazione specifica, timestamp, IP, dispositivo e decisione presa. I registri VPN registrano che è stata stabilita una connessione e quando è stata chiusa: ciò che è accaduto all'interno non viene visualizzato. La differenza ha un impatto concreto sui tempi e sui costi degli audit esterni.

Cosa decidere prima di approvare il progetto

L'analisi del TCO è necessaria ma non sufficiente per decidere di migrare. La domanda più importante riguarda l’attuale profilo di rischio: quante applicazioni interne con dati sensibili sono accessibili a qualsiasi utente con una VPN attiva? Se la risposta è “Non so esattamente quali dati siano accessibili tramite VPN”, questo di per sé è un argomento a favore della migrazione, non per i costi, ma per il controllo.

La distribuzione inizia con le due o tre applicazioni con la massima sensibilità dei dati e il maggior rischio di esposizione. Il modello di configurazione testato in essi (politiche di accesso di gruppo, durata della sessione, comportamento del dispositivo) viene replicato per il resto. Ciò che genera la prima applicazione migrata non è solo una migliore sicurezza per quel servizio; è la prova operativa che il modello funziona nel contesto dell'organizzazione.