Chroń swoją organizację przy użyciu zabezpieczeń typu „zero-trust”

Nowa struktura zabezpieczeń typu „zero-trust”

Wcześniej większość organizacji stosowało klasyczny model zabezpieczeń, aby zapewnić bezpieczeństwo sieci. Użytkownicy i urządzenia zlokalizowane wewnątrz sieci uznawano domyślnie za zaufane, a te poza siecią nie. Miało to sens, gdy większość pracowników i sprzętu było zlokalizowanych lokalnie i wówczas zapewniało jasno zdefiniowany obwód sieci.

Przez ostatnią dekadę funkcje przetwarzania w chmurze i mobilność fundamentalnie zmieniły środowisko danych organizacji, rozmywając obwód sieci. Wybuch pandemii COVID-19 oznaczał ostateczny koniec dotychczasowego klasycznego modelu, gdyż pandemia zmusiła organizacje do szybkiego skalowania sieci i możliwości zabezpieczeń, aby wesprzeć ogromną liczbę pracowników zdalnych.

Obwód sieci nie tylko rozmył się, ale praktycznie przestał istnieć. Zabezpieczenia organizacji legły w gruzach, co zmusiło je do przechodzenia na nowoczesny rodzaj uzyskiwania dostępu do sieci: zero-trust.

Zrozumienie modelu zero-trust

Struktura zabezpieczeń typu „zero-trust” koncentruje się na trzech głównych zasadach: zakładanie naruszenia bezpieczeństwa, weryfikacja jawności danych i zapewnienie dostępu z jak najmniejszymi uprawnieniami.

Zamiast domyślnie uznawać wszystkich użytkowników i urządzenia w obrębie sieci za zaufane, model zero-trust nie ufa żadnym z nich. Zero-trust zakłada, że wszyscy użytkownicy i wszystkie urządzenia mogą być potencjalnie niebezpieczne i dlatego należy weryfikować wszystkich, zarówno urządzania, jak i osoby, przed przyznaniem im dostępu do sieci. Po zalogowaniu użytkownicy powinni mieć minimalny dostęp do sieci, wyłącznie taki, jaki jest potrzebny do wykonywania ich pracy.

Po odpowiednim wdrożeniu model zero-trust zapewnia administratorom IT pełny wgląd we wszystkich użytkowników, systemy i urządzenia. Pomaga też zapewnić zachowanie zgodności z wymogami regulacyjnymi i branżowymi oraz zapobiegać cyberatakom, których powodem są naruszone poświadczenia użytkownika.

Dlaczego sieci VPN i architektura typu „zero-trust” nie łączą się

Gdy wybuchła pandemia COVID-19, organizacje były zmuszone do szybkiego skalowania swoich sieci i możliwości swoich zabezpieczeń, aby wesprzeć ogromną liczbę pracowników zdalnych. Ta zmiana nastąpiła nagle i bez zapowiedzi, dlatego organizacje po prostu zwiększyły użycie wdrożonych już wcześniej metod. Często oznaczało to używanie sieci VPN do zabezpieczania połączeń zdalnych.

Gdy dostęp zdalny był potrzebny tylko dla pojedynczych użytkowników, wówczas sieć VPN zdawała egzamin, ale gdy organizacje chciały skalować to rozwiązanie, aby sprostać potrzebom wszystkich pracowników, niedociągnięcia sieci VPN szybko wyszły na jaw.

Nie można mówić o skalowalności w przypadku sieci VPN. Są one też bardzo kosztowne, cechują je opóźnienia, problemy z niezawodnością i dostępnością, wymagają dużych nakładów administracyjnych i są bardzo trudne w użytkowaniu przez użytkowników końcowych. A co najgorsze, większość z nich nie obsługuje dostępu do sieci typu „zero-trust”.

Jak wdrożyć architekturę typu „zero-trust”

Nie ma uniwersalnych standardów „wdrożenia architektury typu „zero-trust””, a wiedza o tym, od czego zacząć, może stanowić wyzwanie. Jednak poniższe najlepsze praktyki są uniwersalne i pomogą Ci nakreślić mapę podróży Twojej organizacji do architektury typu „zero-trust”.

• Zaangażuj się w architekturę typu „zero-trust” w dłuższej perspektywie – technologia, przepływy pracy i środowiska zagrożeń stale się zmieniają i stają się coraz bardziej złożone. To samo dotyczy architektury typu „zero-trust”.
• Upewnij się, że kierownictwo wyższego szczebla jest zaangażowane – wszystkie szczeble kierownictwa muszą być zaangażowane w proces wdrażania architektury typu „zero-trust”. Badanie przeprowadzone przez CRA wykazało, że organizacje, które odniosły duży sukces we wdrażaniu koncepcji „zero-trust”, otrzymały wsparcie od kierownictwa wyższego szczebla, podczas gdy organizacje, które go nie otrzymały, miały problemy.
• Zacznij od małych rzeczy – rozpocznij wdrożenie architektury typu „zero-trust” od migracji zasobów biznesowych o niskim ryzyku, a następnie przejdź do bardziej krytycznych zasobów, gdy Twój zespół zdobędzie więcej doświadczenia w tym procesie.
• Najpierw skup się na zarządzaniu tożsamością i dostępem – firma CRA odkryła, że zarządzanie tożsamością i dostępem (IAM) było najczęściej wdrażanym komponentem architektury typu „zero-trust” przez organizacje, które odniosły duży sukces – 86% z nich zastosowało strategie „zero-trust” do swoich procesów i kontroli IAM.