Zero Trust: nov pristop k zaščiti vaše digitalne prihodnosti

Zero Trust je pristop k varnosti IT, ki temelji na predpostavki, da nobeni osebi ali napravi znotraj ali zunaj omrežja ne bi smeli samodejno zaupati. Namesto tega se vse omrežne povezave štejejo za nezaupanja vredne, dokler niso preverjene. Ta model vključuje več ključnih načel: preverjanje pristnosti uporabnikov in naprav, zmanjšanje privilegijev, segmentacijo omrežja, stalno spremljanje in odzivnost. To so v bistvu temeljna načela arhitekture Zero Trust.

V zadnjem času se v povezavi s kibernetsko varnostjo zelo pogosto omenja izraz Zero Trust. Prve omembe in opredelitve ničelnega zaupanja je leta 1994 opisal Stephen Paul Marsh v svojem delu na Univerzi v Stirlingu. Prav ta koncept je postal ključni element na področju kibernetske varnosti.

Cilj arhitekture ničelnega zaupanja je zmanjšati tveganje in povečati organizacijsko varnost z zmanjšanjem odvisnosti od tradicionalnih varnostnih ukrepov. Razčlenimo ničelno zaupanje na to, kako deluje ta model in kateri so njegovi ključni elementi.

vir: canva

Ključni elementi Zero Trust

Identiteta in dostop

Vsak uporabnik in naprava morata imeti preverjanje pristnosti. To vključuje dvofaktorsko preverjanje pristnosti (2FA) in druge metode preverjanja pristnosti. Predpostavlja se, da je vsak uporabnik in naprava potencialna grožnja, zato ju je treba nenehno preverjati.

Minimalna dovoljenja

Vsak uporabnik ima dostop samo do tistih virov, ki so potrebni za njegovo delo.

Varnost naprave

Vse naprave, ki se povežejo z omrežjem, morajo biti varne. To lahko vključuje posodobitve programske opreme, zaščito pred virusi in druge ukrepe.

Segmentacija omrežja

Omrežje je razdeljeno na manjše, izolirane segmente, kar omejuje dostop do kritičnih virov in zmanjšuje tveganje širjenja groženj.

Stalno spremljanje

Dejavnost omrežja se nenehno spremlja, da se hitro prepoznajo in odzovejo na morebitne grožnje v realnem času.

Odzivanje na incidente

Ustvarjanje načrtov in sprejemanje ukrepov za hitro odzivanje na varnostne incidente, da bi čim bolj zmanjšali škodo.

Prednosti Zero Trust

Povečana varnost

Tesno preverjanje pristnosti in segmentacija omrežja napadalcem otežujeta dostop do občutljivih informacij.

Izboljšana vidljivost

Stalno spremljanje omogoča boljši pregled nad dogajanjem v omrežju.

Omejevanje gibanja napadalcev

Zahvaljujoč segmentaciji in minimalnim privilegijem imajo napadalci omejene možnosti za premikanje po omrežju. 

Uvedba arhitekture Zero Trust

Uvajanje arhitekture ničelnega zaupanja zahteva temeljito načrtovanje in sodelovanje v celotni organizaciji. Prav ta dejavnik odvrača številna podjetja in se skuša izogniti uvajanju ničelnega zaupanja v podjetje. Začnite z nekaj osnovnimi koraki. Pomembno je, da izvedete naslednje korake:

Analiza obstoječega okolja

Preslikava vseh uporabnikov, naprav in dostopnih točk.

Nastavitve pravilnika za preverjanje pristnosti

Uvedba dvofaktorskega preverjanja pristnosti (2FA), večkratnega preverjanja pristnosti in drugih metod preverjanja pristnosti.

Segmentacija omrežja

Razdelitev omrežja na manjše segmente glede na pomembnost podatkov in storitev.

Stalno spremljanje in analiza

Implementacija orodij za spremljanje in analizo omrežnega prometa.

Izobraževanje zaposlenih

Poučite zaposlene o varnostnih praksah in pomenu skladnosti s pravilniki.

Ničelno zaupanje lahko znatno poveča varnost organizacije, vendar zahteva skrbno načrtovanje in stalno spremljanje. 

Glavni razlogi za uvedbo Zero Trust

Varnostna tveganja

Naraščajoče število kibernetskih napadov in izpopolnjevanje tehnik kibernetskega vojskovanja.

Hiter razvoj tehnologije

Hiter napredek v tehnologijah, kot so računalništvo v oblaku, IoT in mobilne naprave, ki povečujejo površino napada.

Predpisi in predpisi

Povečane zahteve glede skladnosti z varnostjo in predpisi, kot sta GDPR in CCPA.

Spremembe v delovnem okolju

Prehod na hibridne modele dela in povečanje uporabe zunanjih storitev in aplikacij.

Zavest in zavedanje

Ozaveščanje o pomenu varnosti in zasebnosti podatkov.

Kjer je nujno potrebna implementacija Zero Trust

Izvajanje ničelnega zaupanja je nujno potrebno na številnih področjih, zlasti tam, kjer so občutljive informacije in podatki ključni za delovanje organizacije. Ta področja vključujejo:

Državni in državni organi

Javne institucije morajo zagotoviti varstvo občutljivih osebnih podatkov in vladnih informacij.

Finančne institucije

Banke, investicijska podjetja in druge finančne institucije morajo upoštevati stroge varnostne predpise in zaščititi občutljive finančne podatke.

Zdravstvene ustanove

Bolnišnice in zdravstvene organizacije morajo zaščititi osebne in zdravstvene podatke bolnikov.

Proizvodna in industrijska podjetja

Podjetje, ki ima občutljive tehnologije in proizvodne procese, mora zavarovati svoje proizvodne procese in zaščititi svoje tehnološko znanje.

Znanstvene in raziskovalne ustanove

Organizacije, ki izvajajo raziskave in razvoj, morajo zaščititi svoje raziskovalne podatke in rezultate.

Ničelno zaupanje je zelo uporabno tudi za organizacije, ki prehajajo na hibridne delovne modele in izkoriščajo storitve v oblaku, naprave IoT in mobilne tehnologije.

Ali obstaja zakon, ki nalaga ali priporoča izvajanje Zero Trust?

Obstaja več zakonov in smernic, ki podpirajo ali priporočajo izvajanje modela ničelnega zaupanja. Za Evropsko unijo je bila potrjena direktiva NIS2 (omrežja in informacijski sistemi). Ta direktiva vsebuje številna nova pravila za zagotavljanje kibernetske varnosti in zaščito organizacij pred kibernetskimi grožnjami. Organizacije, ki jih zajema ta direktiva, morajo uvesti tehnične in operativne ukrepe za povečanje odpornosti na kibernetske grožnje. Direktiva NIS2 poudarja tudi pomen izvajanja modela ničelnega zaupanja kot dela ukrepa za zagotavljanje višje ravni kibernetske varnosti.

Za USA je ameriški predsednik Joseph Biden leta 2021 izdal tako imenovano izvršilno odredbo za izboljšanje kibernetske varnosti države, v kateri  je arhitekturo ničelnega zaupanja opisal  kot eno najboljših praks za posodobitev kibernetske varnosti zvezne vlade. 

Vrnimo se k Marshovemu delu, kjer je govoril o zaupanju kot o nečem končnem, kar lahko matematično opišemo. Njegovo delo je temeljilo na trditvi, da koncept zaupanja presega človeške dejavnike, kot so etika, morala, zakonitost, pravičnost in sodba. Zaupanje je ranljivost.

Zero Trust je sodoben pristop k varnosti IT, ki temelji na nezanesljivosti. Ta model temelji na ničelni toleranci do zaupanja uporabnikov in naprav, s stalnim preverjanjem pristnosti identitete in dostopa. Doslej predstavlja najboljši model na področju kibernetske varnosti.

2FA - poleg gesla je pri prijavi potreben še en varnostni element preverjanja pristnosti

CCPA (Kalifornijski zakon o zasebnosti potrošnikov) - Kalifornijski zakon o varstvu potrošnikov, državni zakon, ki krepi pravice potrošnikov do zasebnosti in ureja zbiranje, uporabo in prodajo osebnih podatkov s strani podjetij, ki delujejo v Kaliforniji. Enakovredno GDPR Evropske unije.

GDPR (Splošna uredba o varstvu podatkov) – uredba o varstvu osebnih podatkov, ki je začela veljati 25.5.2018