Odhaleno: 6 mýtů o zabezpečení nulové důvěry

Bezpečnostní model Zero Trust není nový. Existuje od doby, kdy John Kindervag z Forrester Research v roce 2010 napsal svůj článek „No More Chewy Centers: Introducing the Zero Trust Model of Information Security“.

Přístup nulové důvěry se soustředí na přesvědčení, že žádnému uživateli nebo aplikaci by se nemělo důvěřovat, dokonce ani těm, kteří se již nacházejí v perimetru sítě.

Tuto myšlenku již přijaly velké společnosti a organizace jako Google, Coca-Cola a NSA v boji proti rostoucí hrozbě kybernetických útoků. Stále však existují překážky, které brání jeho přijetí do hlavního proudu.

Mýty o zabezpečení nulové důvěry

Jak se zájem organizací o modelový přístup nulové důvěry zvyšuje, některé mylné představy o základních principech rámce stojí v cestě přijetí. Zde je několik mýtů, kterým byste neměli věřit.

Mýtus jedna: Nulová důvěra vytváří kulturu nedůvěry

Obvyklá mylná představa o Zero Trust je, že podporuje myšlenku nedůvěřovat svým zaměstnancům. Zatímco rámec Zero Trust vyžaduje, aby společnosti prověřovaly uživatele přistupující k jejich síťovým zdrojům, nemělo by být chybně interpretováno jako něco osobního.

Faktem je, že důvěra představuje zranitelnost, která může vaši organizaci vystavit riziku útoku. Kyberzločinci konkrétně zneužívají důvěru k cílovým společnostem a Zero Trust nabízí způsob, jak to zmírnit. Je to ekvivalent vstupu na klíčovou kartu místo toho, aby umožnil každému vstoupit do budovy.

Podle pomocí principu nejmenšího privilegia (POLP) mohou organizace přizpůsobit své zásady prahových hodnot tak, aby uživatelům byl udělen přístup pouze ke zdrojům, které potřebují, na základě důvěry, kterou si získali.

Mýtus druhý: Nulová důvěra je produkt

Zero Trust je strategie nebo rámec, nikoli produkt. Je postaven na myšlence nikdy nedůvěřovat a vždy ověřovat.

Různé produkty nabízené prodejci mohou pomoci dosáhnout nulové důvěry; nejedná se však o produkty Zero Trust. Jsou to pouze produkty, které dobře fungují v prostředí Zero Trust. Pokud vás tedy prodejce požádá o koupi jejich produktu Zero Trust, znamená to, že nerozumí základnímu konceptu.

Příbuzný: Co je to síť s nulovou důvěrou a jak chrání vaše data?

Při správné integraci s architekturou Zero Trust mohou různé produkty účinně minimalizovat útočnou plochu a omezit rádius výbuchu v případě narušení. Po úplné implementaci může řešení Zero Trust s nepřetržitým ověřováním zcela eliminovat povrch útoku.

Mýtus třetí: Existuje pouze jeden způsob, jak implementovat nulovou důvěru

Nulová důvěra je soubor bezpečnostních principů, které zahrnují neustálé ověřování, princip nejmenšího privilegovaného přístupu a zmírnění povrchu útoku.

V průběhu let se objevily dva přístupy, jak začít s modelem Zero Trust. První přístup začíná identitou a zahrnuje vícefaktorovou autentizaci, která přináší rychlé výsledky.

Příbuzný: Co je dvoufaktorová autentizace? Zde je důvod, proč byste jej měli používat

Druhý přístup je zaměřen na síť a začíná segmentací sítě. Koncept zahrnuje vytvoření segmentů sítě pro řízení provozu v rámci těchto segmentů a mezi nimi. Správci sítě pak mohou udržovat samostatné oprávnění pro každý segment, čímž omezují šíření postranních hrozeb v systému.

Mýtus čtvrtý: Nulová důvěra slouží pouze velkým podnikům

Google byl jednou z prvních společností, které nasadily architekturu Zero Trust v reakci na operaci Aurora v roce 2009. Jednalo se o sérii útoků zaměřených na velké podniky jako Google, Yahoo, Morgan Stanley a Adobe Systems.

Když Google bezprostředně po útocích přijal model Zero Trust, mnoho firem si myslelo (a stále si myslí), že se to týká pouze velkých organizací. Tato představa by byla pravdivá pouze v případě, že by se kybernetické útoky omezovaly na velké podniky, což není tento případ. Ve skutečnosti asi 46 procent úniků dat v roce 2021 byly zaměřeny na malé podniky.

Zatímco média mají tendenci pokrývat úniky dat postihující velké podniky, není pochyb o tom, že i malé podniky potřebují ochranu před kybernetickými útoky.

Dobrou zprávou je, že malé organizace nemusí při implementaci modelu nulové důvěry zlomit banku. Vzhledem k tomu, že se nejedná o produkt, mohou jej podniky zavádět postupně alokováním skromných ročních investic do architektury Zero Trust.

Mýtus pátý: Nulová důvěra brání uživatelskému zážitku

Jednou z překážek přijetí Zero Trust je vnímaný dopad na uživatelskou zkušenost. Je pochopitelné, že při neustálém ověřování identity uživatelů by utrpěla produktivita a agilita uživatelů. Pokud je však správně implementován, může Zero Trust poskytnout uživatelsky přívětivé prostředí.

Organizace mohou vyhodnocovat uživatelské profily a kombinovat autentizaci založenou na rizicích se strojovým učením k identifikaci rizik a rychlému rozhodování o přístupu. Pokud je riziko vysoké, může systém vyžadovat další ověřovací krok nebo zcela zablokovat přístup, aby ochránil své zdroje. Naopak může eliminovat problémy s autentizací, pokud je riziko nízké.

Přístup nulové důvěry také snižuje složitost administrativní stránky věcí. Dodavatelé a zaměstnanci již nebudou ručit za zajištění v případě, že s vámi přestanou obchodovat. V rámci efektivního modelu nulové důvěry systém okamžitě ukončí jejich přístup ke klíčovým aktivům, čímž eliminuje zadní vrátka.

Mýtus šestý: Nulová důvěra je omezena na prostředí On-Prem

Mnoho společností stále považuje Zero Trust za model, který lze spravovat pouze on-premise. To se stává hlavním problémem, protože citlivá data se nyní nacházejí v hybridních a cloudových prostředích. S rostoucím počtem kybernetických útoků a hacků ovlivňujících on-prem architekturu se stále více firem přesouvá do cloudu.

Dobrou zprávou je, že nulová důvěra se s ním rychle pohybuje.

Příbuzný: Největší narušení bezpečnosti cloudových dat za poslední roky

Zavedením architektury Zero Trust v cloudu mohou společnosti chránit citlivá data a snížit vystavení zranitelných aktiv ve své síti.

Kromě toho, jak se kultura práce na dálku zintenzivňuje a kyberzločinci vyvíjejí nové způsoby, jak využít zranitelnosti, podniky, které se spoléhají na vlastní infrastrukturu, riskují narušení.

Nikdy nevěř; Vždy ověřit

Na základě počtu úniků dat zaměřených na organizace je zřejmé, že starý přístup k zabezpečení nestačí. Zatímco mnozí věří, že nulová důvěra je drahá a časově náročná, je to fantastický lék na současné bezpečnostní problémy.

Model Zero Trust se snaží odstranit systémy založené na důvěře jednoduše proto, že je příliš často zneužíván při kybernetických útocích. Funguje na principu, že před získáním přístupu k síťovým zdrojům by měl být každý a vše ověřeno. To je cenná snaha pro společnosti, které chtějí snížit rizika a zlepšit své zabezpečení.

Jak může zabezpečení nulové důvěry zabránit útokům ransomwaru?

Tradiční model zabezpečení se ukázal jako neúčinný proti ransomwaru. Zjistěte, proč je nulová důvěra nejlepším způsobem, jak porazit kybernetické útoky.

Přečtěte si další

O autorovi