Razkrito: 6 mitov o varnosti brez zaupanja

Varnostni model Zero Trust ni nov. Odkar je John Kindervag iz Forrester Research leta 2010 napisal svoj prispevek »No More Chewy Centers: Introducing the Zero Trust Model of Information Security«.

Pristop Zero Trust je osredotočen na prepričanje, da nobenemu uporabniku ali aplikaciji ne bi smeli zaupati, tudi tistim, ki so že znotraj omrežnega oboda.

To idejo že sprejemajo velika podjetja in organizacije, kot so Google, Coca-Cola in NSA, za boj proti naraščajoči grožnji kibernetskih napadov. Vendar pa še vedno obstajajo ovire, ki ovirajo njegovo splošno sprejetje.

Miti o varnosti brez zaupanja

Ker se zanimanje organizacij za pristop modela Zero-Trust povečuje, so nekatere napačne predstave o osnovnih načelih okvira ovirali sprejetje. Tukaj je nekaj mitov, ki jim ne bi smeli verjeti.

Mit prvi: nič zaupanja ustvarja kulturo nezaupanja

Pogosta napačna predstava o Zero Trust je, da spodbuja idejo, da svojim zaposlenim ne zaupate. Čeprav okvir Zero Trust od podjetij zahteva, da natančno preučijo uporabnike, ki dostopajo do njihovih omrežnih virov, ga ne bi smeli napačno razlagati kot nekaj osebnega.

Dejstvo je, da zaupanje predstavlja ranljivost, ki lahko vašo organizacijo ogrozi pred napadom. Kibernetski kriminalci posebej izkoriščajo zaupanje za ciljna podjetja, Zero Trust pa ponuja način za ublažitev tega. To je enakovredno vnosu s ključno kartico, namesto da bi vsem omogočili vstop v zgradbo.

Avtor z uporabo načela najmanjših privilegijev (POLP), lahko organizacije prilagodijo svoje politike pragov, tako da imajo uporabniki dostop samo do virov, ki jih potrebujejo na podlagi zaupanja, ki so si ga prislužili.

Drugi mit: nič zaupanja je izdelek

Zero Trust je strategija ali okvir, ne produkt. Zgrajena je na ideji, da nikoli ne zaupamo in vedno preverjamo.

Različni izdelki, ki jih ponujajo prodajalci, lahko pomagajo doseči nič zaupanja; vendar niso izdelki Zero Trust. So le izdelki, ki dobro delujejo v okolju Zero Trust. Torej, če vas prodajalec prosi, da kupite njihov izdelek Zero Trust, je to znak, da ne razume osnovnega koncepta.

Povezano: Kaj je omrežje brez zaupanja in kako ščiti vaše podatke?

Ko so pravilno integrirani z arhitekturo Zero Trust, lahko različni izdelki učinkovito zmanjšajo površino napada in zadržijo polmer eksplozije v primeru kršitve. Ko je v celoti implementirana, lahko rešitev Zero Trust s stalnim preverjanjem popolnoma odpravi napadalno površino.

Tretji mit: obstaja samo en način za uresničitev nič zaupanja

Zero Trust je zbirka varnostnih načel, ki vključuje stalno preverjanje, načelo dostopa z najmanjšimi privilegiji in ublažitev površine napada.

V preteklih letih sta se pojavila dva pristopa za začetek z modelom Zero Trust. Prvi pristop se začne z identiteto in vključuje večfaktorsko preverjanje pristnosti, ki zagotavlja hitre rezultate.

Povezano: Kaj je dvofaktorska avtentikacija? Tukaj je razlog, zakaj bi ga morali uporabiti

Drugi pristop je usmerjen v omrežje in se začne s segmentacijo omrežja. Koncept vključuje ustvarjanje omrežnih segmentov za nadzor prometa znotraj in med temi segmenti. Skrbniki omrežja lahko nato vzdržujejo ločeno avtorizacijo za vsak segment, s čimer omejujejo širjenje stranskih groženj v sistemu.

Četrti mit: nič zaupanja služi le velikim podjetjem

Google je bil eno prvih podjetij, ki je uvedlo arhitekturo Zero Trust kot odgovor na operacijo Aurora leta 2009. To je bila serija napadov, namenjenih velikim podjetjem, kot so Google, Yahoo, Morgan Stanley in Adobe Systems.

Ko je Google takoj po napadih sprejel model Zero Trust, so mnoga podjetja mislila (in še vedno mislijo), da to velja samo za velike organizacije. Ta ideja bi bila resnična le, če bi bili kibernetski napadi omejeni na velika podjetja, kar pa ne drži. V resnici približno 46 odstotkov kršitev podatkov leta 2021 so bili namenjeni malim podjetjem.

Medtem ko mediji običajno pokrivajo kršitve podatkov, ki prizadenejo velika podjetja, ni dvoma, da mala podjetja potrebujejo tudi zaščito pred kibernetskimi napadi.

Dobra novica je, da majhnim organizacijam ni treba zlomiti bank, da bi uvedli model Zero Trust. Ker to ni izdelek, ga lahko podjetja uvajajo postopoma, tako da dodelijo skromno letno naložbo v arhitekturo Zero Trust.

Mit peti: nič zaupanja ovira uporabniško izkušnjo

Ena od ovir za sprejetje Zero Trust je zaznan vpliv na uporabniško izkušnjo. Razumljivo je domnevati, da bi pri nenehnem preverjanju identitete uporabnikov trpeli produktivnost in okretnost uporabnikov. Vendar, če je ustrezno implementiran, lahko Zero Trust zagotovi uporabniku prijazno izkušnjo.

Organizacije lahko ocenijo profile uporabnikov in združijo preverjanje pristnosti na podlagi tveganja s strojnim učenjem, da prepoznajo tveganja in sprejmejo odločitve za hiter dostop. Če je tveganje veliko, lahko sistem zahteva dodaten korak preverjanja pristnosti ali v celoti blokira dostop za zaščito svojih virov. Nasprotno, lahko odpravi izzive pri preverjanju pristnosti, če je tveganje majhno.

Pristop brez zaupanja prav tako zmanjša zapletenost na administrativni strani stvari. Izvajalci in zaposleni ne bodo več varnostni zavezanci, če bodo prenehali poslovati z vami. V skladu z učinkovitim modelom Zero Trust bo sistem takoj prekinil njihov dostop do ključnih sredstev, s čimer bo odstranil zadnja vrata.

Šesti mit: Ničelno zaupanje je omejeno na okolje na začetku

Številna podjetja še vedno gledajo na Zero Trust kot na model, ki ga je mogoče upravljati samo na mestu. To postane velika težava, saj so občutljivi podatki zdaj v hibridnih in oblačnih okoljih. S porastom kibernetskih napadov in vdorov, ki vplivajo na arhitekturo na prem, se vse več podjetij seli v oblak.

Dobra novica je, da Zero Trust hitro napreduje z njim.

Povezano: Najboljše kršitve varnosti podatkov v oblaku v zadnjih letih

Z vzpostavitvijo arhitekture Zero Trust v oblaku lahko podjetja zaščitijo občutljive podatke in zmanjšajo izpostavljenost ranljivih sredstev v svojem omrežju.

Poleg tega, ko se krepi kultura dela na daljavo in kibernetski kriminalci razvijajo nove načine za izkoriščanje ranljivosti, podjetja, ki se zanašajo na infrastrukturo na mestu, tvegajo motnje.

Nikoli ne zaupaj; Vedno preveri

Glede na število kršitev podatkov, ki ciljajo na organizacije, je očitno, da stari šolski pristop k varnosti ni dovolj. Čeprav mnogi verjamejo, da je Zero Trust drag in dolgotrajen, je fantastičen protistrup za varnostne težave trenutno.

Model Zero Trust želi odstraniti sisteme, ki temeljijo na zaupanju, preprosto zato, ker se prepogosto izkorišča v kibernetskih napadih. Deluje po načelu, da je treba vse in vse preveriti, preden pridobijo dostop do omrežnih virov. To je vredna prizadevanja za podjetja, ki želijo zmanjšati tveganja in izboljšati svojo varnostno držo.

Kako lahko Zero-Trust Security prepreči napade izsiljevalne programske opreme?

Tradicionalni varnostni model se je izkazal za neučinkovitega proti ransomware. Naučite se, zakaj je nič zaupanja najboljši pristop za premagovanje kibernetskih napadov.

Preberite Naprej

O avtorju