A vezető zéró bizalom elve – „soha ne bízz, mindig ellenőrizd” – alapvető gyakorlattá vált napjaink összetett és sokszínű felhőhálózatainak biztosításához. Nem is olyan régen bezárhattad a vállalat bejárati ajtaját, bízva abban, hogy minden értékes információd biztonságban van a falakon belül. Aztán jöttek a laptopok, a lemezek és a memóriapálcák – és minden alkalommal hallanál egy történetet arról, hogy valakiről, aki valahol állami titkokat hagy egy vonaton. Ma a vállalat adatai potenciálisan elérhetők bárhol, ahol kapcsolat áll rendelkezésre. És a távoli és elosztott munkaerő példátlan növekedésével, hogy „bárhol” szó szerint „bárhol a világon” lehet.

Manapság a legjobb szoftvermegoldások mind a felhőben futnak – hogy ne mondjunk semmit a világ ipari IoT hálózataiban található több millió csatlakoztatott eszközről és eszközről. És bár a felhőalapú alkalmazások jellemzően nem kevésbé biztonságosak, mint az on-premise alkalmazások – valójában éppen az ellenkezője –, új kockázatok vannak a mai összekapcsolt világban. A digitális és felhőtechnológiák kibővítették azt, amit a biztonsági szakértők minden szervezet támadási felületének neveznek.

A hagyományos kiberbiztonsági protokollokat az az elképzelés mintázta, hogy a felhasználók átmenjenek a biztonságon a vállalat virtuális bejárati ajtaján, majd beérve a hely futását. Más szóval, egy felhő előtti világban fejlődtek. Most azonban több hozzáférési pont van – egy alkalmazott személyes telefonja vagy egy IoT nyomtató lehet egy lehetséges portál –, és a vállalatoknak le kellett törniük biztonsági stratégiájukat. Ha a kibertámadások rekordmagasak, a hálózati biztonságnak kiemelt helyzetben kell lennie a teendők listájának élén. A bizalmatlan bevezetéshez elkötelezettség és együttműködés szükséges a teljes vállalaton belül.

Nulla bizalom: definíció és stratégia

John Kindervag 2010-ben a Forrester Research elemzőjeként dolgozott – egy olyan időszakban, amikor a felhőalapú alkalmazások és az IoT eszközök gyors növekedésnek indultak. Kindervag helyesen ismerte fel a Forrester rendszereiben tárolt adatok és szellemi tulajdon óriási érzékenységét és értékét. Erre a növekvő kockázatra válaszul megalkotta a zéró bizalom kifejezést, és számos alapelve fejlődését vezette.

A zéró bizalom olyan informatikai biztonsági modellként határozható meg, amely megköveteli, hogy minden felhasználó és potenciálisan csatlakoztatott eszköz szigorúan ellenőrizze személyazonosságát, függetlenül attól, hogy a vállalat periméterein belül vagy kívül tartózkodik-e. A zéró bizalom architektúra (ZTA) számos folyamatra és protokollra, valamint dedikált digitális megoldásokra és eszközökre támaszkodik a siker elérése érdekében.

A zéró megbízhatósági hálózati hozzáférés (ZTNA) a nulla megbízhatósági architektúra alkalmazása, amelyet a Gartner úgy határoz meg, mint egy „identitás- és kontextusalapú, logikai hozzáférési határ egy alkalmazás vagy alkalmazáskészlet körül”. Ez eltávolítja ezeket az alkalmazásokat a nyilvános nézetből, és csak azokat a felhasználókat engedélyezi, akik ellenőrizve vannak, és akik betartják az előre megadott hozzáférési szabályzatokat.

De a valóságban a zéró bizalom a szervezeten belüli kulturális átalakulásként kezdődik. A kiberbiztonságra hajlamosak vagyunk a rossz szereplők szempontjából gondolni, akik szándékosan törekszenek arra, hogy kárt okozzanak, de sajnálatos módon gyakran inkább tudatlanság, mintsem rosszindulatú, ami kockázathoz és veszteséghez vezet. Egy közelmúltbeli jelentés azt mutatja, hogy 2022 mindössze első felében 48%-kal nőtt az e-mailes támadások száma, ahol a munkavállalókat az adathalászat következtében csalásokba csábították vagy részleteket közöltek. Ez jól szemlélteti, hogy az oktatás és a kulturális kényszerbeszerzés miért a zéró bizalom megvalósításának kritikus eleme.

Miért van szükség most ennyire a zéró bizalom elveire?

Nem kétséges, hogy a kibertámadások emelkednek. 2022-ben egy nagyszabású felmérést végeztek, amelyben 1200 nagy szervezet vett részt 14 különböző ágazatban és 16 országban. A kiberbiztonság rangsorolása ellenére sok válaszadó elismerte, hogy nem megfelelő a biztonsága. A ténymegállapítások szerint 2020 és 2021 között riasztó mértékben, 20,5%-kal nőtt a lényeges jogsértések száma.

Néhány olyan biztonsági kihívás, amellyel napjaink vállalkozásai szembesülnek:

• Örökölt tűzfalak. Sok vállalat túlzottan támaszkodik a tűzfalakra, amelyek a felhőkapcsolat elterjedését megelőzően alakulnak ki. A VPN-ek a tűzfalak bővítéséhez nyújtott életképes sávok, de korlátozott terjedelmük és az üzleti alkalmazások teljesítményének lassítására való hajlamuk miatt nem jelentenek hatékony hosszú távú megoldást, ami viszont hatással van az alkalmazottak termelékenységére.
• Az ellenőrzés összetettsége. Az eszköz agnosztikus szoftver nagyszerű a felhasználók számára, de összetett réteget ad a biztonsági protokollokhoz. Még akkor is, ha a felhasználók céges telefonokkal és laptopokkal rendelkeznek, csak olyan biztonságosak, mint az azok védelmére szolgáló ellenőrzési és biztonsági protokollok.
• Külső eszközök. A világjárvánnyal egész munkaerőt küldtek otthonról dolgozni – szinte egyik napról a másikra. Sok vállalatnak nem volt más választása, mint hagyni, hogy az alkalmazottak saját számítógépüket és eszközeiket használják. Sok esetben biztonsági áthidaló megoldásokat hoztak létre az üzlet működésének és a világításnak a bekapcsolása érdekében. Sok vállalat számára azonban még meg kell fejteniük ezeket az ideiglenes intézkedéseket, és több golyóálló zéró bizalmi intézkedést kell végrehajtaniuk távoli munkavállalóik számára.
• Jogosulatlan alkalmazások. Az SaaS üzleti alkalmazások használata folyamatosan felfelé mutató pályán van. Sajnos sok informatikai csapat vékony, ezért a felhasználók gyakran a saját alkalmazásaik megvásárlásához folyamodnak, és a vállalati hálózaton belül használják őket anélkül, hogy tájékoztatnák informatikai csapataikat. Ezek az alkalmazások nemcsak hogy nem tartoznak a szigorú zéró bizalmi gyakorlatok hatálya alá, hanem akár a biztonsági intézkedéseket is teljesen megkerülték.

• IoT-kapcsolat. Az ipari IoT eszköz lehet olyan egyszerű, mint egy ventilátor vagy egy hegesztőgép. Mivel ezek az eszközök nem tekintendők semmilyen „számítógépnek”, a felhasználók könnyen elfelejthetik, hogy potenciális hozzáférési pontként szolgálnak a vállalati hálózatba. A zéró bizalom architektúra olyan automatizálásokat és folyamatokat hoz létre, amelyek biztosítják az összes végpont, gép és IoT-eszköz biztonságát.
• Többcsatornás portálok. Nem az alkalmazottak az egyedüliek az Ön üzleti felhőjében. Egyre több csatlakoztatott eszközt látunk, mint például az okospolcokat az üzletekben és a „fizetés bárhol” mobilalkalmazásokat. E többcsatornás portálok bármelyike kockázatot jelent. A zéró bizalom segít biztosítani ezeket a kockázatokat anélkül, hogy indokolatlan kényelmetlenséget vagy késedelmet okozna ügyfeleinek.
• ERP biztonsági kihívások. Az elmúlt években az ERP rendszerek bizonyos tervezési és pénzügyi feladatokra korlátozódtak, és korlátozott felhasználókörük volt az üzleten belül. Napjaink legjobb felhőalapú ERP-rendszereit azonban a mesterséges intelligencia, a fejlett analitika és a hatékony, skálázható adatbázisok vezérlik. Képesek integrálni az üzleti élet különböző alkalmazásaival és rendszereivel, és egyre inkább használják őket az összes működési terület optimalizálására és egyszerűsítésére. A modern ERP rendszerek fejlett biztonsági rendszerekkel rendelkeznek, de mint minden rendszer, olyan sebezhetőségekkel rendelkeznek, amelyek csak szélesebb hatótávolsággal és hozzáférhetőséggel rendelkeznek. A zéró bizalom elvei, ha erős felhőalapú ERP biztonságra alkalmazzák, segítenek megvédeni vállalkozását minden szakaszban.

Hogyan működik a nulla bizalom?

A zéró bizalom számos technológiát és protokollt kombinál, mint például a többfaktoros hitelesítés, a végpontbiztonsági megoldások és a felhőalapú eszközök a különböző attribútumok és identitások felügyeletére és ellenőrzésére – a felhasználóktól a végpontokig. A bizalmatlanság az adatok, e-mailek és munkaterhelések titkosítását is igényli biztonságuk biztosítása érdekében. Lényegében nulla megbízhatósági protokollok:

• Hálózati hozzáférés szabályozása és korlátozása bárkitől, bárhonnan, bármilyen eszközön vagy eszközön keresztül
• A hálózat bármely szintjéhez hozzáférő vagy ahhoz hozzáférő felhasználó vagy eszköz ellenőrzése
• Rögzítse és vizsgálja meg az összes hálózati forgalmat valós időben

A zéró bizalmi biztonsági modell szükséges szabályzatot használ. Ez lényegében azt jelenti, hogy a felhasználók csak azokhoz az adatokhoz és alkalmazásokhoz férhetnek hozzá, amelyekre a feladataik elvégzéséhez szükségük van. És még egyszer, a technológia a kétélű kard a verseny a jobb kiberbiztonság érdekében. A digitális megoldások és a kapcsolat javulásával nagyobb támadási felületet hoznak létre, így jobb és gyorsabb biztonsági technológiákra van szükség ahhoz, hogy lépést tartsanak. És nem csak lépést tart, hanem minimális kényelmetlenséget és zavarokat is okoz a felhasználónak. Ehhez rendkívül agilis és dinamikus biztonsági szabályzatokra van szükség, amelyeket kontextusfüggő információk és a rendelkezésre álló adatpontok maximális száma támogat – és valós időben. Ki ez a személy? Hol vannak? Mit próbálnak elérni? Miért van szükségük erre a hozzáférésre? Melyik eszközön vagy végponton jönnek be?

A zéró bizalmi megoldások előnyei

Legsúlyosabb esetükben az adatsértések katasztrofálisak lehetnek. Az ügyfelek személyes adatai forognak kockán, csakúgy, mint a pénzügyek, a szellemi tulajdon és természetesen a jó hírneved. A biztosításhoz hasonlóan a biztonsági befektetések is nagy költségnek tűnhetnek… amíg szüksége van rájuk. És akkor úgy néznek ki, mint egy kis ár, hogy fizessen, hogy megvédje a vállalkozását.

A zéró bizalmi megoldások számos előnye közé tartoznak a következők:

• A hibrid és távoli munkaerő védelme. Megbeszéltük, hogy a távoli dolgozók és a személyes eszközök hogyan növelték a kiberbiztonsági játékot. De nem csak a vállalatát fenyegeti veszély. A számítógépes bűnözők személyesen célozhatják meg alkalmazottait, ezért fontos biztosítani, hogy szigorú intézkedések legyenek érvényben a kockázatuk és az Ön kockázatának csökkentése érdekében.
• Az agilitás és az új üzleti modellek támogatása. A versenyhez és a zavarok kezeléséhez a vállalkozásoknak képesnek kell lenniük arra, hogy új üzleti modelleket indítsanak és fedezzenek fel. Ez az új alkalmazások, szoftverek és csatlakoztatott eszközök beiktatását jelenti. A biztonság biztosítása ilyen körülmények között ijesztő feladat, ha manuálisan kezelik. Szerencsére a legjobb zéró megbízhatóságú szoftvereszközök intelligens automatizálással és testre szabható megoldásokkal gyorsíthatják a dolgokat, amelyek biztosítják az összes fontos lépést.
• Az informatikai erőforrásokkal kapcsolatos költségek csökkentése. Kérdezd meg bármelyik informatikai szakembert, hogy mennyi időt töltenek a manuális biztonsági feladatokkal – a válasz valószínűleg „túl sok”. Ahogy a vállalkozások áthelyezik központi vállalati rendszereiket a felhőbe, a biztonsági javítások és frissítések automatizálhatók és végrehajthatók a háttérben. Ez vonatkozik a zéró megbízható biztonsági protokollokra is. A felhasználóktól a végpontokig számos alapvető titkosítási és ellenőrzési feladat automatizálható és ütemezhető.
• Pontos készlet biztosítása. A zéró bizalom elvei megkövetelik a vállalattól, hogy pontos leltárt készítsen az összes eszközről, felhasználóról, eszközről, alkalmazásról és a csatlakoztatott erőforrásokról. A megfelelő megoldásokkal a készletfrissítések beállíthatók automatikus frissítésre, biztosítva a valós idejű pontosságot. Megsértési kísérlet esetén ez felbecsülhetetlen értékű nyomozati eszköz. Ezenkívül a vállalatok gyakran milliókat kötnek a megfelelő eszközökhöz, így a pontos leltár pénzügyi előnyt is jelent.
• Jobb felhasználói élmény. A hagyományos ellenőrzési folyamatok lassúak és nehezen kezelhetők. Ez oda vezetett, hogy a felhasználók megpróbálták kijátszani a biztonsági protokollokat, vagy akár elkerülték az alapvető eszközök és alkalmazások használatát, mivel nehéz használni őket. A legjobb zéró megbízhatósági megoldások úgy vannak kialakítva, hogy tolakodásmentesek és reszponzívak legyenek, megkönnyítve az alkalmazottakat a jelszavak feltalálásával (majd elfelejtésével) és a lassú válaszadási ellenőrzési folyamatokkal szemben.

Nulla bizalom a legjobb gyakorlatokban: Első lépések

Számos feladat van, amelyet el kell végeznie, amint megkezdődik a zéró bizalom átalakítása. Ez magában foglalja az eszközök katalogizálását, a szervezeten belüli szegmensek meghatározását és az adatok osztályozását a zökkenőmentes átmenet érdekében.

A zéró bizalom az elkötelezettséggel kezdődik, és a következő lépések segíthetnek a gördülésben:

• Meghatalmazott. Az IT-csapata már túl elfoglalt. Fontolja meg egy dedikált kiberbiztonsági változáskezelési szakember bevonását vagy kinevezését, aki segíthet a kockázatok csökkentésében, a fejlesztési lehetőségek felismerésében és egy működőképes ütemterv kialakításában.
• Kommunikáció. Nézzünk szembe vele, az alkalmazottakat nem fogja azonnal felizgatni a szigorúbb biztonsági intézkedések híre. Ahogy a nagyobb biztonságba fektetnek be, be kell fektetniük az átalakulással kapcsolatos elkötelezettebb üzenetküldésbe és kommunikációba is. Számos valós példa van a számítástechnikai bűnözés veszélyeire. Segíts csapataidnak megérteni, hogy nem csak a C-suite-ot érinti az adatsértés – ez munkahelyekbe kerül, befolyásolja az egyéneket, és veszélyezteti a vállalat fennmaradását.
• Audit. Biztonsági szakemberrel együttműködve, a biztonsági kockázatok ellenőrzőlistájának összeállítása és a vállalkozás minden egyes területének ellenőrzése. Bontsa le a silókat, és lépjen kapcsolatba a témaszakértőkkel a csapatán belül. Jobban ismerik, mint bárki, ahol a gyengeségek és sebezhetőségek a területükön vannak – különösen az összetett, globális műveletekben, például az ellátási láncokban és a logisztikában.
• Priorizálás. Határozza meg az összes üzleti művelet és feladat relatív fontosságát és sürgősségét, és rendeljen hozzá értékelést. Határozza meg a szerepalapú értékelést arról, hogy kinek van kritikus szüksége a dolgokhoz való hozzáférésre, és ki kevésbé. Ez a kezdeti rangsorolás abban is segít, hogy felkészítse Önt a mikroszegmentációra, amely a zéró bizalom alapvető összetevője – megakadályozva az oldalirányú mozgást és az adatsértéseknek való kitettségét.

Az eufemizmusok és a gondos nyelv mai világában a zéró bizalom némileg cinikus kifejezésnek tűnhet az alkalmazottak számára. Tehát, kelj ki előtte, amikor nulla bizalmat mutatsz be csapataidnak. Mondd meg nekik az elején, hogy ez semmiképpen sem jelenti azt, hogy nem bízol bennük. A kiberbűnözők azok, akikben senkinek nem szabad megbíznia – mert a dolgok olyannak tűnhetnek, mint amilyenek nem. A legapróbb réseken keresztül tudnak bejutni, és ha egyszer bent vannak, nem érdekli, hogy kit károsítanak.