Zerowe zaufanie (zero trust) to podejście do ochrony informatycznej i zabezpieczania danych wrażliwych, przy jednoczesnym przestrzeganiu nowych przepisów dotyczących prywatności. Ponieważ korzystanie z usług w chmurze szybko zdobywa popularność, wiąże się z nim potencjał zagrożenia lub kradzieży danych uwierzytelniających uprzywilejowanego administratora lub aplikacji. Ponadto może to potencjalnie prowadzić do kradzieży danych i cyberoszustw ze strony cyberkryminalistów, ponieważ wprowadzenie skutecznych zabezpieczeń jest często pomijane lub lekceważone. Zerowe zaufanie umożliwia organizacjom regulowanie dostępu do systemów, sieci i danych bez przekazywania kontroli. W związku z tym rośnie liczba organizacji, które przechodzą do modelu zabezpieczeń o zerowym zaufaniu (co oznacza brak zaufania komukolwiek), dzięki czemu firmy mogą zabezpieczać dane za pomocą ustawień bezpieczeństwa ograniczających dostęp do danych zgodnie z określonymi zasadami.
Standardowy stan bezpieczeństwa sieci skupia się na zatrzymywaniu zagrożeń pochodzących spoza granicy sieci, które mogą narażać dane wrażliwe na kradzież w obrębie sieci. Takie podejście wykorzystuje zapory sieciowe, sieci VPN, kontrolę dostępu, IDS, IPS, SIEM i bramy e-mailowe z zabezpieczeniami na granicy, które cyberprzestępcy potrafią teraz pokonać. Oznacza to, że ktoś z odpowiednimi uwierzytelnieniami może uzyskać dostęp do dowolnych witryn, aplikacji lub urządzeń w obrębie sieci. Dzięki zabezpieczeniom opartym na zerowym zaufaniu nikt domyślnie nie jest dopuszczany – ani z wewnątrz sieci, ani spoza niej. Zerowe zaufanie działa od samego początku, wymagając weryfikacji od każdego użytkownika próbującego uzyskać dostęp do zasobów, uwierzytelniając w ten sposób użytkowników i regulując dostęp do systemów, sieci i danych. Proces ten obejmuje weryfikację tożsamości użytkowników i powiązanych praw dostępu do określonego systemu, umożliwiając organizacjom zarządzanie tożsamościami cyfrowymi użytkowników w celu udzielania odpowiedniego dostępu. W celu wzmocnienia uwierzytelniania zerowe zaufanie wykorzystuje również kilka warstw zaawansowanej kontroli dostępu do urządzeń sieciowych i serwerów obsługujących zasoby. To podejście umożliwia śledzenie działań użytkowników, tworzenie raportów na temat tych działań oraz egzekwowanie zasad w celu zapewniania zgodności.
Zasady architektury zerowego zaufania ustanowione przez amerykański National Institute of Standards & Technology (NIST) to:
Zmniejszone ryzyko
Zmniejszaj ryzyko związane ze stałymi zagrożeniami w oparciu o zasady projektowania dające priorytet bezpieczeństwu. Korzystaj z technologii, takich jak wbudowana izolacja dzierżawców czy przyznawanie najniższych potrzebnych uprawnień, wspomagających przestrzeganie przepisów dotyczących prywatności i zgodności. Organizacje, korzystając z dobrze zarządzanych tożsamości, mają większą kontrolę nad dostępem użytkowników, co przekłada się na zmniejszone ryzyko naruszeń wewnętrznych i zewnętrznych.
Kontrola dostępu
Zabezpieczenia oparte o zerowe zaufanie obejmują rejestrowanie informacji o użytkownikach, zarządzanie tożsamościami użytkowników i orkiestrowanie przywilejów dostępu w celu ułatwienia regulowania dostępu do systemów lub sieci dla poszczególnych użytkowników w organizacji.
Poprawa stanu bezpieczeństwa organizacji
Zdobycie przewagi nad konkurencją
Organizacje, które przejdą ze standardowego podejścia do kwestii bezpieczeństwa na granicach do modelu zerowego zaufania, wykorzystują automatyzację, bezpieczeństwo i zarządzanie, co zwiększa ich ogólną konkurencyjność i sprawność biznesową.
Organizacje realizujące model zabezpieczeń o zerowym zaufaniu muszą:
Skuteczny model zabezpieczeń opartych o zero zaufania zapewni:
- Odizolowana wirtualizacja sieci
- Szczegółowy rozdział obowiązków
- Dostęp z najniższymi potrzebnymi uprawnieniami
- Zautomatyzowane ograniczanie zagrożeń i reagowanie na nie
- Domyślne i wszechobecne szyfrowanie
- Ciągłe monitorowanie zachowań użytkowników
- Adaptacyjne uwierzytelnianie oparte na kontekście