Dlaczego polityka zerowego zaufania jest ważna?
Większość zespołów ds. technologii informatycznych (IT) oraz operacji bezpieczeństwa (SecOps) powie ci, że starsze modele bezpieczeństwa sieci, które zostały zbudowane o ideę „wewnątrz oznacza zaufanie”, już nie działają.
W ciągu ostatnich kilku lat wiele osób oraz organizacji przekonało się o tym na własnej skórze. Tworzenie cyfrowej bariery wokół zasobów nie sprawdza się już w nowoczesnym środowisku. Dzieje się tak, ponieważ podmioty stanowiące zagrożenie nieustannie znajdują nowe, wyrafinowane sposoby penetracji zabezpieczeń obwodowych.
Zagrożenia wewnętrzne również stają się coraz większym problemem. W raporcie IT and Security Convergence 31% specjalistów ds. bezpieczeństwa fizycznego wskazało, że ich organizacja była w zeszłym roku celem cyberprzestępców.
W ostatnich latach nastąpiła również eksplozja pracy zdalnej, przetwarzania w chmurze i korzystania z urządzeń wymagających dostępu do aplikacji spoza sieci korporacyjnych. W rzeczywistości jasno zdefiniowane granice sieci nie istnieją już w naszym cyfrowo połączonym świecie. Z tych wszystkich powodów strategie zerowego zaufania stają się coraz częściej stosowane w celu ograniczenia ryzyka cybernetycznego.
Czym jest zerowe zaufanie?
Zero trust, znane również jako zero trust security i zero trust architecture, to ramy bezpieczeństwa zbudowane na zasadzie „nigdy nie ufaj i zawsze weryfikuj”. Oznacza to, że urządzania i osoby niezależnie od tego, czy znajdują się w sieci firmowej czy nie, nigdy nie powinny być domyślnie zaufane.
Zamiast tego zaufanie jest oceniane i weryfikowane na podstawie poszczególnych transakcji. Każda interakcja musi zostać uwierzytelniona, autoryzowana i zweryfikowana przed uzyskaniem dostępu do aplikacji sieciowych i danych. Zazwyczaj opiera się to na połączeniu tożsamości i innych atrybutów, takich jak geolokalizacja, czas i data oraz inne istotne konteksty stanu bezpieczeństwa.
Nawet po zweryfikowaniu urządzenia lub osoby, dostęp jest przyznawany tylko do określonego zasobu. Stosowanie ograniczonego dostępu lub wystarczającego dostępu jest podstawową zasadą architektury zerowego zaufania. Ponadto minimalizuje ona boczny ruch wschód-zachód w sieci poprzez segmentację zasobów.
W przypadku strategii zerowego zaufania konieczna jest również ciągła weryfikacja. Zapewnia to, że jeśli pewne atrybuty urządzenia lub osoby ulegną zmianie, dostęp może zostać natychmiast cofnięty.
Jakie są główne filary bezpieczeństwa opartego na zero trust?
Zastanawiasz się, jak zaprojektować i wdrożyć architekturę zerowego zaufania? Postępuj zgodnie z tymi siedmioma podstawowymi filarami, aby osiągnąć zerowe zaufanie w swojej organizacji:
Tożsamość użytkownika
Weryfikacja oraz zatwierdzanie tożsamości i atrybutów użytkownika przed przyznaniem mu dostępu do aplikacji lub zasobów. Ograniczanie dostępu użytkowników tylko do określonych danych i zasobów, których potrzebują do wykonywania swojej pracy, zgodnie z zasadami dostępu. Zazwyczaj wymaga to użycia narzędzi bezpieczeństwa, takich jak systemy zarządzania tożsamością i dostępem (IAM) oraz wielu form uwierzytelniania i autoryzacji.
Urządzenie
Zidentyfikuj, zweryfikuj i autoryzuj każde urządzenie, które próbuje połączyć się z zasobami przedsiębiorstwa, aby zapewnić zaufanie. W razie potrzeby ogranicz dostęp do danych dla każdego urządzenia. Utrzymuj aktualne wykazy wszystkich autoryzowanych urządzeń końcowych i upewnij się, że wszystkie urządzenia są w pełni zgodne z najlepszymi praktykami cyberbezpieczeństwa przed ich wdrożeniem.
Aplikacje
i obciążenie
Załóż, że wszystkie aplikacje, procesy cyfrowe i inne zasoby IT nie są domyślnie godne zaufania. Rozważ dynamiczną autoryzację i ciągłą walidację, aby wzmocnić wszystkie obciążenia. Zastosuj solidne i kompleksowe środki cyberbezpieczeństwa, aby zidentyfikować manipulacje, nietypowe zachowania lub nieautoryzowany dostęp do obciążeń i aplikacji.
Dane
Kategoryzuj dane i stosuj ukierunkowane zasady kontroli dostępu i środki bezpieczeństwa w celu ochrony przed naruszeniami danych. Chroń dane w tranzycie, w użyciu i w spoczynku za pomocą warstw szyfrowania
i autoryzacji. Starannie wybieraj lokalizacje przechowywania danych w centrach danych i stale monitoruj przetwarzanie danych w celu identyfikacji nietypowych działań lub wycieków danych.
Środowisko sieciowe
Wdrożenie mikrosegmentacji w celu ograniczenia rozprzestrzeniania się zagrożeń. Podziel sieci na mniejsze, kontenerowe segmenty, które mogą być ściśle kontrolowane i monitorowane przy użyciu szczegółowych środków bezpieczeństwa i zasad. Odizoluj wrażliwe zasoby, aby zminimalizować ryzyko nieautoryzowanego dostępu.
Automatyzacja
Centralne zarządzanie i egzekwowanie strategii zerowego zaufania w całej organizacji. Rozważ automatyzację, aby zweryfikować i utrzymać, że wszystkie zasady bezpieczeństwa są skonfigurowane i utrzymywane w ten sam sposób w sieci LAN, WAN, bezprzewodowej sieci WAN i w centrach danych. Upewnij się, że wszyscy użytkownicy, urządzenia i aplikacje podlegają tym samym kontrolom.
Widoczność
i analiza
Upewnij się, że wszystkie procesy bezpieczeństwa zero trust – czy to mikrosegmentacja, autoryzacja, szyfrowanie, obciążenia aplikacji czy przetwarzanie danych – są stale monitorowane i zarządzane. Korzystaj z inteligentnych narzędzi i analiz, które automatyzują wykrywanie zagrożeń, zwiększają widoczność w całym przedsiębiorstwie
i dostarczają powiadomienia w czasie rzeczywistym w celu szybszego ograniczania ryzyka.
Znaczenie wyboru partnerów, którzy wdrażają zerowe zaufanie
Podejście zerowego zaufania nie powinno ograniczać się do własnej organizacji. Powinno obejmować również cały ekosystem łańcucha dostaw. Dlatego tak ważne jest, aby wybierać dostawców, dla których priorytetem jest posiadanie architektury zaufania tak samo jak dla Ciebie.
Jeśli rozważasz rozwiązania chmurowe lub hybrydowe, pamiętaj o tym, jak zerowe zaufanie wpływa na operacje i projekt produktu dostawcy technologii. Domyślnie dostawcy powinni brać pod uwagę brak bezpieczeństwa sieci centrum danych i wdrażać protokoły, które wspierają strategię zerowego zaufania.
Przykładowo, dostawcy mogą zapewnić rozległą mikrosegmentację zasobów wraz z granularną kontrolą bezpieczeństwa i ciągłym uwierzytelnieniem. Oznacza to rozdzielenie obciążeń sieciowych na mniejsze segmenty w celu dokładnego monitorowania ruchu
w każdym segmencie i ograniczenia rozprzestrzeniania się zagrożeń bocznych.
Innym czynnikiem, który dostawca może wziąć pod uwagę, jest zapewnienie dystrybucji informacji w silosowych, niezależnych repozytoriach. Eliminuje to ryzyko ataków na centralne repozytorium danych. Wszystkie przesyłane i odbierane dane mogą być
w pełni zaszyfrowane i podpisane cyfrowo, dzięki czemu usługa w chmurze ma dostęp tylko do minimalnej ilości danych wymaganych do wykonania danego zadania.
Rozwiązanie chmurowe może być wyposażone w narzędzia do monitorowania kondycji, automatycznie ostrzegające o pojawiających się lukach w zabezpieczeniach. Może to obejmować widżety cyberbezpieczeństwa, które dostarczają konkretnych zaleceń mających na celu poprawę stanu cyberbezpieczeństwa.
Należyta staranność może również obejmować weryfikację standardów zgodności i certyfikatów dostawcy. Powinno to obejmować sprawdzenie, czy jego praktyki i rozwiązania zostały zatwierdzone przez audyty zewnętrzne i akredytowane stowarzyszenia zgodności. Wszystko to pomaga zapewnić, że zaufanie jest uzasadnione i stale poddawane ponownej ocenie – podstawowa zasada zerowego zaufania.
