Stack bezpieczeństwa dla rozproszonej firmy cloud-first

stack, poukładany od nowa dla braku perymetru

• Krytyczny · Obszar: Tożsamość · Pierwszy krok: Twój jedyny realny perymetr. MFA wszędzie, czynniki odporne na phishing dla adminów, SSO, mocny dostęp warunkowy, szybki offboarding.
• Krytyczny · Obszar: Zaufanie do urządzenia · Pierwszy krok: Nie kontrolujesz sieci, więc o dostępie decyduje stan zdrowia urządzenia. Zarządzaj tym, czym możesz, resztę kontroluj na poziomie przeglądarki.
• Wysoki · Obszar: SaaS · Pierwszy krok: Twój cały majątek. Aplikacje za single sign-on, granty OAuth pod przeglądem, rozrost zmapowany.
• Wysoki · Obszar: AI · Pierwszy krok: Jest wszędzie tam, gdzie pracują twoi ludzie. Wiedz, co jest w użyciu, trzymaj wrażliwe dane z dala od warstw konsumenckich, kontroluj dostęp agentów.
• Wysoki · Obszar: Bezpieczny dostęp (ZTNA) · Pierwszy krok: Zastąp VPN dostępem per aplikacja opartym na tożsamości i urządzeniu.
• Bazowy · Obszar: Dane i kopie zapasowe · Pierwszy krok: Twoje dane siedzą w SaaS. Wiedz, dokąd płyną, i rób kopie zapasowe tego, czego nie zrobi dostawca.
• Bazowy · Obszar: Endpointy i poczta · Pierwszy krok: EDR tam, gdzie da się go wdrożyć, filtrowanie poczty włączone, słowo do zespołu o phishingu.
• Później · Obszar: Detekcja i reagowanie · Pierwszy krok: Managed detection obejmujący tożsamość i SaaS, skoro nie masz SOC ani sieci do obserwowania.

tożsamość to cała gra

Dla firmy z perymetrem tożsamość to jedna z kilku ważnych kontroli. Dla ciebie to jedyna, która jest obecna zawsze, bo każde pojedyncze żądanie dostępu, z dowolnego urządzenia, skądkolwiek, niesie ze sobą tożsamość i niewiele więcej, na czym można polegać. Dlatego kontrole, które gdzie indziej byłyby zwykłą dobrą praktyką, tu są sprawą egzystencjalną.

MFA idzie na wszystko, bez wyjątków, a konta, które sięgają po cokolwiek wrażliwego, powinny mieć czynniki odporne na phishing zamiast kodów, które fałszywa strona logowania może przechwycić i przekazać dalej. Single sign-on to więcej niż wygoda: to jedno miejsce, z którego nadajesz i odbierasz dostęp w majątku, który jest w całości SaaS. A dostęp warunkowy robi robotę, którą kiedyś robił firewall: zamiast ufać połączeniu, bo przyszło z biura, zezwalasz na nie, bo tożsamość jest zweryfikowana, a urządzenie jest w znanym, dobrym stanie. Offboarding musi być szybki i kompletny, bo były kontraktor z resztkami dostępu ma taki sam zasięg z własnego salonu, jaki pracownik ma ze swojego.

zaufanie do urządzeń, których nie posiadasz

Trudność braku sieci polega na tym, że często też nie jesteś w pełni właścicielem urządzeń. Prywatne laptopy, domowe komputery, telefon sprawdzający firmową pocztę, wszystko to sięga po twoje systemy z sieci, których nigdy nie widziałeś. Nie możesz zakładać, że urządzenie jest zdrowe tylko dlatego, że się połączyło, więc zaufanie do urządzenia staje się drugą połową każdej decyzji o dostępie.

Tam, gdzie możesz zarządzać urządzeniami, zarządzaj i wpuszczaj ich stan bezpieczeństwa do reguł dostępu, żeby przestarzała albo niezgodna maszyna dostawała mniej dostępu albo żadnego. Tam, gdzie nie możesz, bo to prywatne urządzenie kogoś z zespołu albo kontraktora, kontrolę przejmuje przeglądarka, bo tam realnie dzieje się praca i tam możesz stosować politykę bez posiadania sprzętu. Cel jest taki, żeby decyzja o dostępie za każdym razem brała pod uwagę i to, kto pyta, i z czego pyta.

saas i ai to twój cały majątek

Dla większości firm SaaS i AI to rosnąca część obrazu. Dla ciebie to prawie cały obraz, co oznacza, że rozrost, który gdzie indziej jest problemem do ogarnięcia, tu jest sprawą kluczową. Twoje zespoły wdrażają aplikacje bez pytania, granty OAuth kumulują się w stały dostęp, którego nigdy nie widzisz, a dane rozpraszają się po usługach, których nie prowadzisz. Zadanie polega na tym, żeby wprowadzić aplikacje za single sign-on, zinwentaryzować podpięte aplikacje i zakresy (scopes), które trzymają, i przeglądać je tak, jak przeglądałbyś dostęp ludzi.

AI jedzie na tym wszystkim, bo rozproszony zespół chętny do nowych narzędzi wdraża je szybko i karmi je firmowymi danymi przez przeglądarkę i integracje SaaS. Wiedza, jakie AI jest w użyciu, trzymanie wrażliwej pracy na warstwach enterprise, które nie trenują się na twoich danych, i kontrola tego, po co mogą sięgnąć asystenci i agenci AI, to realna część twojego stacku, nie sprawa na przyszłość.

jesteś naturalnym kandydatem do zero trust

Wszystko powyżej składa się na jedną myśl i akurat jest to ta, do której zmierza cała branża. Bez perymetru, bez zaufanej sieci i bez założenia, że urządzenie jest bezpieczne, musisz decydować o zaufaniu przy każdym żądaniu, na podstawie zweryfikowanej tożsamości i znanego urządzenia, przyznając tylko taki dostęp, jakiego to żądanie potrzebuje. To jest zero trust i tam, gdzie tradycyjne przedsiębiorstwo musi zdemontować lata niejawnego zaufania sieciowego, żeby do niego dojść, ty możesz przyjąć je jako pozycję startową. Zastąpienie pozostałego VPN dostępem per aplikacja to konkretny pierwszy krok.

poziom bazowy nadal obowiązuje

Nic z tego nie znosi zwykłego minimum. Nadal chcesz mieć ochronę endpointów na urządzeniach, którymi możesz zarządzać, włączone filtrowanie poczty, przetestowane kopie zapasowe danych, które się liczą, i praktyczne słowo do rozproszonego zespołu o phishingu, który uderza w pracowników zdalnych tak samo jak w każdego innego. To wszystko siedzi na twojej liście niżej niż tożsamość i SaaS, ale brak przetestowanej kopii zapasowej wciąż jest luką, która zamienia incydent w kryzys, rozproszona firma czy nie. A skoro nie masz zespołu operacji bezpieczeństwa ani sieci do obserwowania, usługa managed detection skupiona na tożsamości i SaaS to zwykle sensowny sposób, żeby mieć oczy na powierzchni, która się dla ciebie liczy.

od czego zacząć

Najpierw zobacz wyraźnie swój dostęp i swój SaaS, bo dla firmy takiej jak twoja ta powierzchnia to cała powierzchnia ataku i to ona rozrasta się najszybciej i najlepiej się chowa. Zmapuj całą planszę, a potem zejdź w dół według priorytetu z tabeli powyżej, wiedząc, że widoczność tożsamości i SaaS to fundament, na którym stoi wszystko inne.