Do typowych cyberzagrożeń dla branży handlu detalicznego należą ataki z wykorzystaniem oprogramowania wymuszającego okup, inżynieria społeczna, nieautoryzowany dostęp do systemu oraz zagrożenia wewnętrzne. Branża handlu ...
Zaktualizowano 9 kwietnia 2024 r.
Terminy zero-trust i zero-knowledge mają podobne brzmienie, ale odnoszą się do różnych koncepcji cyberbezpieczeństwa. Główną różnicą pomiędzy zero-trust i zero-knowledge jest to, że zasada zero-trust odnosi się do bezpieczeństwa sieci, a zero-knowledge odnosi się do prywatności danych. Oba te elementy są istotne na potrzeby ochrony poufnych informacji przed nieupoważnionymi osobami.
Czytaj dalej, aby dowiedzieć się więcej o zero-trust i zero-knowledge, najważniejszych różnicach pomiędzy nimi i dlaczego należy je stosować w organizacjach.
Co oznacza zero-trust?
Zero-trust to struktura cyberbezpieczeństwa, która wymaga ciągłego uwierzytelniania użytkowników oraz urządzeń. Zakłada możliwość naruszenia każdego użytkownika i urządzenia, rezygnując z automatycznego zaufania dla użytkowników w sieci organizacji lub poza nią. Przed uzyskaniem dostępu do sieci wymagana jest ciągła i drobiazgowa weryfikacja każdego użytkownika oraz urządzenia.
Po uzyskaniu dostępu do sieci użytkownik lub urządzenie otrzymuje uprawnienia na najniższym poziomie wymaganym do wykonywania powierzonych zadań. Nie jest możliwe uzyskanie dostępu do innych elementów sieci. To ograniczenie dostępu uniemożliwia cyberprzestępcom dostęp do innych poufnych informacji w przypadku naruszenia konta użytkownika. Zero-trust koncentruje się na użytkowniku, a nie na tym, skąd następuje logowanie.
Podejście zero-trust opiera się na trzech podstawowych założeniach:
- Założenie naruszenia: podejście zero-trust zakłada, że każdy użytkownik lub urządzenie, które próbuje uzyskać dostęp do sieci organizacji, może zostać naruszone i spowodować naruszenie bezpieczeństwa.
- Drobiazgowa weryfikacja: ponieważ podejście zero-trust eliminuje domniemane zaufanie, użytkownicy i urządzenia muszą potwierdzać tożsamość przy każdej próbie uzyskania dostępu.
- Dostęp z minimalnym poziomem uprawnień: po weryfikacji użytkownicy oraz urządzenia otrzymują minimalny poziom dostępu do sieci niezbędny do wykonywania zadań.
Co to jest zero-knowledge?
Podejście zero-knowledge to model zabezpieczeń, który wykorzystuje szyfrowanie i segmentację danych w celu ograniczenia skutków naruszeń danych. Dane są szyfrowane i odszyfrowywane na poziomie urządzenia, a nie na serwerach firmy lub w chmurze. Aplikacja wykorzystująca szyfrowanie zero-knowledge nie przechowuje danych w postaci zwykłego tekstu. Dostawca usługi nigdy nie otrzymuje tych danych w takiej formie. Klucze wymagane do odszyfrowania przechowywanych danych są dostępne tylko dla ich właściciela na urządzeniu. Gwarantuje to, że w przypadku naruszenia dostawcy usługi wszystkie przechowywane dane będą szyfrowane i chronione.
Najważniejsze różnice pomiędzy zero-trust a zero-knowledge
Pojęcia zero-trust i zero-knowledge mogą być błędnie uznawane za tożsame, ponieważ oba odnoszą się do poprawy bezpieczeństwa użytkowników i organizacji. Dla odróżnienia podejście zero-trust można skojarzyć z hasłem „nie ufaj nikomu”, a zero-knowledge z hasłem „nie wiemy nic”. Oto najważniejsze różnice pomiędzy pojęciami zero-trust i zero-knowledge.
Zero Trust | Zero Knowledge | |
---|---|---|
Definition | Focuses on network security through continuous and explicit authentication and authorization of all users | Focuses on data security through encrypting and decrypting data on the device level |
Method of protection | Verification | Encryption |
Responsibility | Organization | Service provider |
Implementation techniques | Multi-Factor Authentication (MFA), network segmentation and least privilege access | 256-bit symmetric encryption and transport layer security from the service provider |
Dlaczego należy stosować w organizacjach podejście zero-trust i zero-knowledge
Należy stosować w organizacjach zarówno podejście zero-trust, jak i zero-knowledge, aby chronić dane poufne przed naruszeniem w wyniku nieautoryzowanego dostępu. Organizacje powinny powierzać dane dostawcom usług, którzy wykorzystują szyfrowanie zero-knowledge, aby zapewnić, że dostęp do danych może uzyskać wyłącznie organizacja, która je przekazała.
Niektóre organizacje wdrożyły środowisko hybrydowe wykorzystujące zarówno infrastrukturę chmurową, jak i lokalną, co sprawia, że podejście zero-trust jest niezbędne na potrzeby ochrony danych poufnych. Zero-trust zapewnia organizacjom wgląd w infrastrukturę i pomaga ograniczyć ryzyko cyberataków. Podejście zero-trust zapewnia organizacjom możliwość identyfikacji wszystkich użytkowników i urządzeń próbujących uzyskać dostęp do sieci, określenie lokalizacji, z której się łączą oraz zasobów, z których chcą korzystać. Pomaga również ograniczyć ryzyko cyberataków, umożliwiając dostęp do sieci wyłącznie upoważnionym użytkownikom i ograniczając go do minimalnego poziomu, co zapobiega zbędnemu poruszaniu się po sieci.
Architektura zero-knowledge zabezpiecza dane organizacji nawet w przypadku naruszenia dostawcy usługi. Ponieważ dostawca usługi nie może odszyfrować danych organizacji, po ewentualnym naruszeniu i kradzieży danych dostawcy usługi przez cyberprzestępców, nie będą oni mogli ich odszyfrować. Zero-knowledge chroni zarówno przechowywane, jak i przesyłane dane, ponieważ są one szyfrowane i odszyfrowywane wyłącznie na urządzeniu użytkownika. Aplikacja nigdy nie przechowuje danych w postaci zwykłego tekstu, co oznacza, że dostawca usługi nie może ich zobaczyć. Gdy dane są synchronizowane z innymi urządzeniami, pozostają zaszyfrowane do momentu ich odszyfrowania przez użytkownika. Przesyłane dane są chronione za pomocą szyfrowania klucza transmisji, co oznacza, że nie mogą zostać przechwycone i odczytane przez nieautoryzowanych użytkowników.
Jak Keeper® stosuje podejście zero-trust i zero-knowledge
Keeper Security udostępnia podejście zero-trust poprzez ujednolicenie rozwiązań do zarządzania kluczami tajnymi, hasłami i połączeniami z wykorzystaniem naszego zastrzeżonego modelu szyfrowania zero-knowledge. Organizacje mają pełny wgląd w całą infrastrukturę danych. Produkty Keeper zapewniają ochronę za pomocą szyfrowania zero-knowledge, co gwarantuje, że dane przechowywane przez organizację nie są dostępne dla innych osób ani pracowników Keeper. Więcej informacji o naszej architekturze zabezpieczeń można znaleźć tutaj.
Wykorzystanie rozwiązania KeeperPAM jest najlepszym sposobem na wdrożenie podejścia zero-trust i zero-knowledge. KeeperPAM™ łączy rozwiązania Keeper Enterprise Password Manager (EPM), Keeper Secrets Manager® (KSM) i Keeper Connection Manager® (KCM), zapewniając organizacjom pełny wgląd, bezpieczeństwo i kontrolę nad wszystkimi uprzywilejowanymi użytkownikami oraz urządzeniami w organizacji.