Zero trust po prostu: co to jest, prostym językiem

Skąd wziął się stary model i dlaczego się załamał

Przez dekady bezpieczeństwo firmowe działało jak zamek z fosą. Budowałeś mocny mur wokół sieci biurowej: firewall, firmowe Wi-Fi, prywatne połączenie dla zdalnych pracowników. Założenie było proste. Jeśli byłeś za murem, byłeś zaufany. Jeśli byłeś poza nim, nie byłeś.

To działało całkiem nieźle, kiedy wszyscy siedzieli w jednym budynku, używali komputerów wydanych przez firmę, a oprogramowanie żyło na serwerach w zapleczu. Mur był bezpieczeństwem.

Trzy zmiany złamały ten model, i NIST nazywa je wprost. Ludzie pracują dziś zdalnie, z domu i w podróży. Ludzie używają własnych telefonów i laptopów do pracy, których firma nie kontroluje w pełni. A oprogramowanie, od którego zależy biznes, poczta, finanse, przechowywanie plików, dane klientów, coraz częściej żyje w chmurze, poza jakimkolwiek murem, który firma posiada.

Kiedy twoje dane i twoi ludzie są rozproszeni po internecie, mur chroni bardzo niewiele. Co gorsza, założenie „zaufany, skoro w środku" staje się ryzykiem. Jeśli atakujący ukradnie hasło jednego pracownika albo podrzuci malware na jeden laptop, stary model traktuje go jak zaufanego insidera. Jest w środku fosy, więc często może poruszać się na boki i sięgnąć dużo dalej, niż powinno kiedykolwiek sięgnąć to jedno konto.

Co zero trust naprawdę mówi

Zero trust zaczyna od innego założenia: żadna osoba i żadne urządzenie nie są domyślnie zaufane, gdziekolwiek by się nie znajdowały. Bycie na firmowym Wi-Fi nic ci nie daje. Każde żądanie dostępu do systemu albo danych jest sprawdzane osobno.

Każde sprawdzenie patrzy na kilka praktycznych rzeczy:

• Kim jesteś. System potwierdza, że osoba naprawdę jest tym, za kogo się podaje, zwykle przez hasło plus drugi dowód, taki jak kod albo zatwierdzenie na telefonie.
• Na jakim jesteś urządzeniu. Firmowy laptop z aktualnym zabezpieczeniem jest traktowany inaczej niż nieznany telefon w kawiarni. Stan urządzenia wpływa na decyzję.
• Po co wolno ci sięgnąć. Dostęp jest przyznawany do konkretnej aplikacji albo pliku, którego dana osoba potrzebuje, nie do całej sieci. NIST SP 800-207 opisuje to jako ochronę poszczególnych zasobów, nie segmentów sieci.

Drugą połową zero trust jest zasada least privilege. Każda osoba i każdy system dostaje minimalny dostęp potrzebny do wykonania pracy, i nic ponad to. Twój lider finansowy może sięgnąć do systemu księgowego; nie potrzebuje dostępu do kodu źródłowego ani danych HR. Chodzi o to, że im mniejszy dostęp każdej osoby, tym mniej zyskuje atakujący, przejmując pojedyncze konto, a nie o nieufność wobec twoich ludzi.

Złóż to razem, a dostaniesz roboczą definicję: weryfikuj każde żądanie osobno, za każdym razem bierz pod uwagę urządzenie i tożsamość i trzymaj dostęp każdej osoby tak wąski, jak pozwala na to jej rola.

Co to oznacza w praktyce

Dla typowej firmy mid-market wdrożenie zero trust to seria konkretnych, rozpoznawalnych zmian, a nie projekt zburz-i-zbuduj-od-nowa:

• Logowanie wieloskładnikowe wszędzie. Każdy ważny system prosi o drugi dowód poza hasłem. To pojedynczy krok o najwyższej wartości i zwykle to od niego firmy zaczynają.
• Sprawdzenie urządzenia. Przed przyznaniem dostępu system może potwierdzić, że urządzenie jest znane i rozsądnie zdrowe, na przykład że jest zaszyfrowane i aktualne. Niezarządzane urządzenia dostają mniej dostępu albo żadnego.
• Dostęp do konkretnych aplikacji, nie do całej sieci. Zamiast połączenia, które wrzuca zdalnego pracownika na całą wewnętrzną sieć, ludzie są podłączani do jednej albo dwóch aplikacji, których faktycznie potrzebują. Jeśli jedno konto zostanie nadużyte, blast radius jest mały.
• Least privilege, przeglądane regularnie. Uprawnienia są przyznawane według roli, a ktoś okresowo sprawdza, czy dostęp nadal odpowiada temu, co ludzie faktycznie robią. Kiedy ktoś zmienia rolę albo odchodzi, jego dostęp jest niezwłocznie usuwany.

Nic z tego nie wymaga jednego zakupu opatrzonego marką „zero trust". To ustawienia i nawyki stosowane w systemie tożsamości, urządzeniach i aplikacjach, które już prowadzisz.

Jak wygląda dobrze zrobione

Nie musisz mierzyć tego technicznymi kategoriami. Kilka prostych sygnałów mówi ci, czy podejście się przyjmuje:

• Logowanie do wrażliwego systemu zawsze wymaga czegoś więcej niż hasła, dla pracowników i dla każdego zewnętrznego kontraktora.
• Zgubiony albo skradziony laptop to niedogodność, nie kryzys, bo samo urządzenie nie odblokowuje wszystkiego.
• Kiedy pracownik odchodzi w piątek, jego dostęp znika do poniedziałku, i ktoś potrafi ci to pokazać.
• Jeśli zapytasz „kto widzi bazę danych klientów", twój lider IT może dać ci krótką, dokładną listę zamiast „prawie cała firma".
• Nowy dostęp jest przyznawany, bo wymaga tego rola, a stary dostęp jest sprzątany, zamiast tylko się kumulować.

CISA, amerykańska agencja cyberbezpieczeństwa, opisuje zero trust jako podróż dojrzewania w pięciu obszarach: tożsamość, urządzenia, sieci, aplikacje i dane. Większość firm jest dalej w niektórych obszarach niż w innych, i to normalne. Użyteczne ujęcie to kierunek podróży, nie ocena zdał-nie zdał.

Dlaczego to ma znaczenie dla biznesu, nie tylko dla IT

Trzy praktyczne presje zwykle sprowadzają temat zero trust na biurko lidera.

Pierwszą jest zwykłe ograniczenie ryzyka. Większość poważnych naruszeń zaczyna się od jednego skradzionego loginu albo jednego przejętego urządzenia. Model „zaufany, skoro w środku" zamienia tę jedną awarię w problem całej firmy. Weryfikowanie każdego żądania i trzymanie wąskiego dostępu sprawia, że jeden błąd zostaje mały.

Drugą jest to, że klienci i partnerzy coraz częściej o to pytają. Kwestionariusze bezpieczeństwa, audyty dostawców i formularze ubezpieczenia cybernetycznego rutynowo pytają dziś, czy wymuszasz logowanie wieloskładnikowe, czy ograniczasz dostęp do tego, co ludzie potrzebują, i czy zarządzasz urządzeniami. To pytania o zero trust pod każdym względem poza nazwą, a wiarygodna odpowiedź może odblokować sprzedaż albo odnowienie.

Trzecią jest regulacja. Europejskie frameworki obejmujące odporność operacyjną i bezpieczeństwo sieci oczekują od organizacji ścisłej kontroli dostępu, weryfikacji tożsamości i przyznawania tylko takiego dostępu, jakiego wymaga dana rola. Słownictwo różni się w zależności od przepisu, ale leżące u podstaw oczekiwanie ściśle pokrywa się z zasadami zero trust opisanymi powyżej.

Częste nieporozumienia warte wyjaśnienia

To nie jest produkt, który kupujesz. Dostawcy sprzedają narzędzia, które pomagają wdrożyć zasady zero trust, i część z nich jest naprawdę użyteczna. Ale nie ma jednego pudełka, które robi z ciebie „zero trust". Traktuj z ostrożnością każdy pitch, który twierdzi inaczej.

Nie oznacza to nieufności wobec twojego zespołu. Nazwa jest niefortunna. Zaufanie, które zostaje wycofane, to automatyczne, bezwarunkowe zaufanie, jakie stary model dawał wszystkiemu wewnątrz sieci. Twoi ludzie nie są zagrożeniem. Celem jest ograniczenie tego, co może zrobić skradzione konto albo zainfekowane urządzenie.

To nie jest wszystko albo nic. Wdrażasz to krokami, zaczynając od ruchów o najwyższej wartości. Firma z logowaniem wieloskładnikowym i zacieśnionym dostępem jest wyraźnie w lepszej sytuacji niż ta bez tego, nawet jeśli nie dotknęła jeszcze każdego systemu.

Nie spowalnia wszystkich. Zrobione dobrze, tarcie ląduje na ryzykownych żądaniach, nie na rutynowych. Znana osoba na znanym urządzeniu sięgająca po zwykłą aplikację powinna ledwo to zauważyć. Sprawdzenia intensyfikują się, kiedy coś wygląda nietypowo.

Źródła

• NIST SP 800-207, Zero Trust Architecture (final, August 2020) · https://csrc.nist.gov/pubs/sp/800/207/final (formalna definicja zero trust; brak niejawnego zaufania opartego na lokalizacji sieciowej; weryfikacja zarówno użytkownika, jak i urządzenia; ochrona zasobów zamiast segmentów sieci; praca zdalna, BYOD i chmura jako czynniki napędowe)
• CISA Zero Trust Maturity Model, Version 2.0 (April 2023) · https://www.cisa.gov/sites/default/files/2023-04/zero_trust_maturity_model_v2_508.pdf (pięć filarów: tożsamość, urządzenia, sieci, aplikacje i workloady, dane; dostęp least privilege dojrzewający przez etapy; zero trust jako podróż)