Η παραδοσιακή προσέγγιση στην ασφάλεια βασιζόταν σε μεγάλο βαθμό στην ιδέα ότι όποιος βρίσκεται μέσα στο εταιρικό δίκτυο μπορεί να θεωρηθεί περισσότερο αξιόπιστος. Σήμερα, με cloud υπηρεσίες, απομακρυσμένη εργασία, SaaS εφαρμογές και πρόσβαση από διαφορετικές συσκευές, αυτό το μοντέλο δεν είναι αρκετό.
Το Zero Trust είναι μια προσέγγιση κυβερνοασφάλειας που αποφεύγει την αυτόματη ή έμμεση εμπιστοσύνη με βάση μόνο τη θέση ενός χρήστη ή μιας συσκευής στο δίκτυο. Η πρόσβαση σε εταιρικούς πόρους πρέπει να αξιολογείται και να περιορίζεται σύμφωνα με την ταυτότητα, τη συσκευή, τον πόρο που ζητείται και τις πολιτικές ασφάλειας της επιχείρησης.
Τι Είναι το Zero Trust;
Το Zero Trust δεν είναι ένα συγκεκριμένο προϊόν, firewall ή υπηρεσία που εγκαθίσταται και ολοκληρώνει από μόνη της την προστασία μιας επιχείρησης. Είναι μια στρατηγική και αρχιτεκτονική προσέγγιση για τον τρόπο με τον οποίο οργανώνεται και ελέγχεται η πρόσβαση σε συστήματα, εφαρμογές και δεδομένα.
Σύμφωνα με το μοντέλο Zero Trust Architecture του NIST, η προστασία επικεντρώνεται στους ίδιους τους εταιρικούς πόρους και όχι αποκλειστικά στην περίμετρο του δικτύου. Η τοποθεσία ενός χρήστη ή μιας συσκευής δεν πρέπει από μόνη της να αποτελεί λόγο εμπιστοσύνης.
Γιατί το Παραδοσιακό Μοντέλο Δεν Αρκεί;
Σε μια σύγχρονη επιχείρηση, οι εργαζόμενοι μπορεί να χρησιμοποιούν Microsoft 365, cloud εφαρμογές, εταιρικά laptops, κινητές συσκευές και απομακρυσμένες συνδέσεις. Παράλληλα, συνεργάτες και εξωτερικοί χρήστες μπορεί να χρειάζονται πρόσβαση σε συγκεκριμένα συστήματα.
Αυτό σημαίνει ότι το όριο μεταξύ «εσωτερικού» και «εξωτερικού» δικτύου είναι πολύ λιγότερο σαφές από ό,τι στο παρελθόν. Επιπλέον, ένας λογαριασμός ή μια συσκευή που έχει ήδη αποκτήσει πρόσβαση μπορεί αργότερα να παραβιαστεί.
Το Zero Trust αντιμετωπίζει αυτό το πρόβλημα περιορίζοντας την εξάρτηση από την έμμεση εμπιστοσύνη και εφαρμόζοντας ελέγχους πρόσβασης πιο κοντά στους πραγματικούς πόρους που χρειάζονται προστασία.
Οι Βασικές Αρχές του Zero Trust
1. Επαλήθευση Ταυτότητας και Πρόσβασης
Η πρόσβαση πρέπει να βασίζεται σε αξιόπιστη επαλήθευση της ταυτότητας και στις πολιτικές της επιχείρησης. Η πολυπαραγοντική αυθεντικοποίηση (MFA) αποτελεί σημαντικό μέτρο, αλλά το Zero Trust δεν περιορίζεται μόνο σε αυτή.
Ανάλογα με την υποδομή, μια απόφαση πρόσβασης μπορεί να λαμβάνει υπόψη επιπλέον στοιχεία, όπως τη συσκευή που χρησιμοποιείται, τον πόρο στον οποίο επιχειρείται πρόσβαση και άλλες πληροφορίες σχετικές με τον κίνδυνο.
2. Least Privilege
Οι χρήστες και οι λογαριασμοί δεν πρέπει να διαθέτουν περισσότερα δικαιώματα από όσα χρειάζονται για την εργασία τους. Η αρχή του least privilege περιορίζει την έκταση της πρόσβασης και μπορεί να μειώσει τις συνέπειες μιας παραβίασης λογαριασμού.
Ιδιαίτερη προσοχή χρειάζονται οι λογαριασμοί με διαχειριστικά ή άλλα αυξημένα δικαιώματα, επειδή η κατάχρησή τους μπορεί να δώσει πρόσβαση σε σημαντικό μέρος της εταιρικής υποδομής.
3. Έλεγχος Συσκευών
Η ταυτότητα του χρήστη δεν είναι το μοναδικό στοιχείο που έχει σημασία. Ανάλογα με την αρχιτεκτονική και τις διαθέσιμες τεχνολογίες, η επιχείρηση μπορεί να αξιολογεί αν μια συσκευή είναι γνωστή, διαχειριζόμενη ή συμμορφώνεται με συγκεκριμένες απαιτήσεις ασφάλειας πριν επιτρέψει πρόσβαση σε κρίσιμους πόρους.
4. Περιορισμός της Πρόσβασης στους Πόρους
Η επιτυχής σύνδεση ενός χρήστη δεν σημαίνει ότι πρέπει να αποκτήσει ελεύθερη πρόσβαση σε ολόκληρο το εταιρικό περιβάλλον. Οι πολιτικές μπορούν να περιορίζουν την πρόσβαση μόνο στις εφαρμογές, τα δεδομένα και τα συστήματα που απαιτούνται.
Η λογική αυτή βοηθά επίσης στον περιορισμό της δυνατότητας ενός επιτιθέμενου να κινηθεί από έναν παραβιασμένο λογαριασμό ή σύστημα προς άλλους εταιρικούς πόρους.
5. Παρακολούθηση και Επανεκτίμηση
Η πρόσβαση δεν πρέπει να θεωρείται μόνιμα ασφαλής επειδή εγκρίθηκε μία φορά. Η καταγραφή συμβάντων, η παρακολούθηση της δραστηριότητας και η επανεκτίμηση των πολιτικών αποτελούν σημαντικά στοιχεία μιας ώριμης προσέγγισης Zero Trust.
Τι Σημαίνει Zero Trust για μια Μικρομεσαία Επιχείρηση;
Μια μικρομεσαία επιχείρηση δεν χρειάζεται να αντικαταστήσει ολόκληρη την υποδομή της για να αρχίσει να εφαρμόζει τις αρχές του Zero Trust. Η μετάβαση μπορεί να γίνει σταδιακά, με προτεραιότητα στους σημαντικότερους λογαριασμούς, δεδομένα και υπηρεσίες.
Πρακτικά πρώτα βήματα μπορούν να περιλαμβάνουν:
- καταγραφή των κρίσιμων εφαρμογών, δεδομένων και λογαριασμών,
- ενεργοποίηση MFA όπου είναι κατάλληλο και υποστηρίζεται,
- έλεγχο και περιορισμό περιττών δικαιωμάτων πρόσβασης,
- ξεχωριστή προστασία λογαριασμών με αυξημένα δικαιώματα,
- διαχείριση και αξιολόγηση των συσκευών που αποκτούν πρόσβαση σε εταιρικούς πόρους,
- καταγραφή και παρακολούθηση σημαντικών συμβάντων ασφάλειας,
- σταδιακό περιορισμό της πρόσβασης ανάλογα με τις πραγματικές ανάγκες κάθε χρήστη ή ρόλου.
Το Zero Trust Δεν Είναι Ένα Μεμονωμένο Εργαλείο
Ένα συχνό λάθος είναι να αντιμετωπίζεται το Zero Trust ως προϊόν που μπορεί απλώς να αγοραστεί. Στην πράξη απαιτεί συνδυασμό τεχνολογίας, πολιτικών και διαδικασιών.
Identity and Access Management, MFA, διαχείριση συσκευών, έλεγχος δικαιωμάτων, network segmentation, logging και monitoring μπορούν να αποτελέσουν επιμέρους στοιχεία μιας Zero Trust στρατηγικής. Το ποια από αυτά χρειάζονται και με ποια σειρά πρέπει να εφαρμοστούν εξαρτάται από την υπάρχουσα υποδομή, τους κινδύνους και τις επιχειρησιακές ανάγκες.
Πώς να Ξεκινήσετε
Η εφαρμογή Zero Trust είναι προτιμότερο να αντιμετωπίζεται ως σταδιακή διαδικασία και όχι ως ένα μεμονωμένο IT project. Το πρώτο βήμα είναι να γνωρίζει η επιχείρηση ποια δεδομένα και συστήματα είναι κρίσιμα, ποιοι έχουν πρόσβαση σε αυτά και από ποιες συσκευές.
Στη συνέχεια μπορούν να εντοπιστούν υπερβολικά δικαιώματα, λογαριασμοί χωρίς επαρκή προστασία και υπηρεσίες στις οποίες η πρόσβαση βασίζεται περισσότερο στην παραδοσιακή περίμετρο του δικτύου παρά σε σαφείς πολιτικές ταυτότητας και πρόσβασης.
Συμπέρασμα
Το Zero Trust είναι μια καθιερωμένη προσέγγιση για την προστασία σύγχρονων εταιρικών περιβαλλόντων όπου χρήστες, συσκευές, εφαρμογές και δεδομένα δεν βρίσκονται πλέον μέσα σε ένα ενιαίο, σαφώς οριοθετημένο δίκτυο.
Ο στόχος δεν είναι η «μηδενική εμπιστοσύνη» με την κυριολεκτική έννοια, αλλά η αποφυγή της αυτόματης εμπιστοσύνης και η εφαρμογή ελεγχόμενης, περιορισμένης πρόσβασης στους εταιρικούς πόρους.
Η DataShield.gr μπορεί να αξιολογήσει την υπάρχουσα υποδομή, τους λογαριασμούς και τα σημεία πρόσβασης μιας επιχείρησης και να προτείνει πρακτικά βήματα για μια σταδιακή προσέγγιση Zero Trust με βάση τις πραγματικές ανάγκες της.
