Zero Trust moderni je sigurnosni model koji se temelji na principu “Nikad ne vjeruj, uvijek verificiraj.”
Od svih uređaja i korisnika, bez obzira na to jesu li unutar ili izvan mreže organizacije, zahtijeva da budu autentificirani, autorizirani i redovito provjeravani prije nego što im se odobri pristup.
Ukratko, Zero Trustov moto je “Ne vjerujte nikome dok nije verificiran.”
Zero Trust pomaže u sprječavanju krađa podataka tako što eliminira implicitno povjerenje iz arhitekture vašeg sustava. Umjesto automatskog vjerovanja korisnicima unutar mreže, Zero Trust zahtijeva provjeru na svakoj pristupnoj točki. Štiti moderna mrežna okruženja koristeći višeslojni pristup, uključujući:
- Segmentaciju mreže
- Sprječavanje prijetnji „Layer 7“
- Pojednostavljenu granularnu kontrolu pristupa korisnika
- Sveobuhvatno sigurnosno praćenje
- Automatizaciju sigurnosnih sustava
Zbog porasta količine rada na daljinu, pristupa „ponesite vlastiti uređaj“ (BYOD) i imovine u oblaku koja se ne nalazi unutar mreže u vlasništvu tvrtke, tradicionalne sigurnosne mjere ne pružaju kvalitetnu zaštitu. Tu na scenu stupa Zero Trust.
U biti, Zero Trust ne samo da priznaje postojanje prijetnji unutar i izvan mreže, već pretpostavlja da je proboj neizbježan (ili da se već dogodio). Rezultat toga je da neprestano prati zlonamjerne aktivnosti i ograničava korisnički pristup samo na ono što je potrebno za obavljanje posla. Ovo učinkovito sprječava korisnike (uključujući potencijalne zlonamjerne aktere) da se lateralno kreću kroz mrežu i dolaze do podataka kojima pristup nije ograničen.
Što je Zero Trust?
Ako odnos između dvoje ljudi padne na točku nultog povjerenja (zero trust), možda je vrijeme da krenete dalje. Ili da barem kupite sef. U svijetu informacijske tehnologije i sigurnosti, Zero Trust odnos je složeniji i negativne posljedice mogu biti mnogo štetnije.
Iz perspektive IT sigurnosne arhitekture, bit Zero Trusta pretpostavlja da se niti jednom korisniku ili imovini ne može implicitno vjerovati. ZTA (Zero Trust Architecture) pretpostavlja da su napadači već unutar vašeg okruženja i da rade što žele.
Sve što bilo koji korisnik, aplikacija ili uređaj pokuša učiniti ili promijeniti unutar ZTA okruženja mora se neprestano provjeravati kao autentično i ovlašteno za izvršenje.
Pojam Zero Trust skovao je Forresterov analitičar 2010. godine, a Google je počeo koristiti taj termin tijekom nekoliko sljedećih godina kako bi se omogućilo zaštićeno računalstvo od strane zaposlenika koji rade na daljinu bez korištenja virtualne privatne mreže (VPN). Okvir je kodificiran 2018. godine kada je NIST objavio specijalno izdanje (Special Publication 800-207, Zero Trust Architecture). NIST je ažurirao ključne komponente 2020. godine.
Tvrtke Forrester i Gartner nastavile su s evolucijom svojih ZTA modela, a u 2021. godini Microsoftovo izvješće o usvajanju Zero Trusta zabilježilo je da je čak 96 posto od 1,200 donositelja sigurnosnih odluka ustvrdilo da je zero trust od ključnog značaja za uspjeh njihove organizacije.
Usvajanje Zero Trust arhitekture
Kako je arhitektura usredotočena na povjerenje, ne iznenađuje da je originalni koncept ZTA zasnovan na upravljanju identitetima i pristupom (IAM - identity and access management).
Gartner definira IAM kao “višestruke tehnologije i poslovni procesi koji pomažu pravim ljudima ili strojevima da pristupe pravoj imovini u pravo vrijeme iz pravih razloga, a istodobno drže na distanci neovlašteni pristup i prijevaru.”
Na površini, Gartnerova definicija zvuči gotovo kao ZTA. Nema sumnje da imaju identičnu namjeru. Ali sumnjati moramo, jer ZTA uključuje daleko širi raspon integriranih kontrola potrebnih za omogućavanje pouzdanog ekosustava. Otkako su se koncepti vezani uz ZTA pojavili prije trinaest godina, analitičari, sigurnosni arhitekti, organizacije za standarde, sigurnosni i IT dobavljači te ljudi koji se u praksi bave sigurnošću tvrtki razmišljali su, istraživali, razvijali, isprobavali i testirali što podrazumijeva ZTA ekosustav. Zaključak je da se ZTA proteže puno dalje od IAM-a.
The Qualys GovCloud Platform najnaprednija je sigurnosna platforma federalne, državne i lokalne agencije, kao i za regulirane tvrtke iz privatnog sektora kojima je potrebna vrlo sigurna zero-trust hibridna IT infrastruktura koja je u skladu sa Zero Trust Security Modelom i napucima iz NIST Special Publication 800-53 v5.
Qualysova platforma izgrađena je s najopsežnijim mogućnostima upravljanja ranjivostima (VM) na svijetu, uključujući vlastiti inventar imovine, bazu podataka o prijetnjama i upravljanje površinom napada. Aplikacije potrebne za usklađenost sa ZTA isporučuju se putem jedne platforme, njima se upravlja putem jedne nadzorne ploče, a implementiraju se pomoću jednog agenta.
Zaključak
Koristeći Qualys Cloud Platforme, organizacije mogu pojednostaviti i postići usklađenost u širokom rasponu ZTA zahtjeva s integriranim rješenjima za sigurnost i usklađenost, jednim centraliziranim kontrolnim centrom i jednim agentom.
Bilo da je vaša organizacija savezna agencija, dobavljač ili privatna tvrtka, saznajte više o Qualys Cloud Platformi i kako ona može pomoći vašoj organizaciji da bude u skladu s nacionalnom politikom kibernetičke sigurnosti učinkovitom implementacijom zero-trust arhitekture i modela.
