nulová důvěra (Zero Trust) jako základ zabezpečení

Tento článek obsahuje přehled základních principů nulová důvěra (Zero Trust) jako moderního základu zabezpečení pro navrhování, implementaci a provoz kontrolních mechanismů zabezpečení ve vaší organizaci.

nulová důvěra (Zero Trust) je moderní přístup k zabezpečení založený na jednoduché myšlence: nikdy nedůvěřuj, vždy ověřuj.

Přístup se uděluje až po ověření:

• Kdo žádá o přístup?
• Jaké zařízení používají?
• Jaká je jejich poloha a chování?
• Jaká je jejich úroveň rizika?

Ověření neprobíhá pouze jednou. Probíhá nepřetržitě a zajišťuje, že důvěra je zachována po celou dobu relace.

Principy nulové důvěryhodnosti

nulová důvěra (Zero Trust) vychází ze tří principů, které řídí rozhodování o přístupu a bezpečnostních prvcích.

Princip	Implementace
Explicitní ověření	Každý požadavek na přístup se ověřuje a autorizuje pomocí všech dostupných signálů.
Použití přístupu s nejnižšími oprávněními	Uživatelé a úlohy získají přístup, který potřebují, jen na nejkratší dobu.
Předpokládat porušení zabezpečení	Bezpečnostní prvky jsou navrženy s očekáváním, že útočníci můžou v prostředí fungovat. Kontrolní mechanismy se zaměřují na omezení dopadu narušení zabezpečení a na umožnění rychlé detekce hrozeb a reakce na ně.

Výsledky nulová důvěra (Zero Trust)

Při důsledném uplatňování modelu nulová důvěra (Zero Trust) vede k jasným, konzistentním a měřitelným bezpečnostním výsledkům, které nahrazují tradiční modely založené na principu „trust-by-default“ modelem „trust-by-exception“.

• Přístup se explicitně uděluje a průběžně vyhodnocuje: Vztah důvěryhodnosti není statický. Každá žádost se posuzuje v reálném čase, protože se mění podmínky.
• Přístup je podmíněný a dočasný: Oprávnění jsou udělena pouze v případě potřeby a jsou odebrána, pokud už nejsou platná.
• Oprávnění jsou úzce vymezená: Uživatelé a úlohy pracují s minimálním potřebným přístupem.
• Kontrolní mechanismy zabezpečení fungují konzistentně: Ovládací prvky se konzistentně uplatňují na všechna prostředí, včetně místních systémů, cloudových platforem, aplikací SaaS a úloh umělé inteligence.
• Detekce a reakce jsou integrované: Nepřetržité monitorování poskytuje rychlejší identifikaci hrozeb, omezení, nápravu a reakci.

Zpochybňování tradičních předpokladů

Tradiční modely zabezpečení spoléhají na hranice sítě, předpokládají, že prostředky uvnitř hraniční sítě jsou bezpečnější než vnější, a považují zabezpečení za odpovědnost bezpečnostního týmu.

I když tyto modely byly účinné proti starším hrozbám, jako je prohledávání sítě a přímé zneužití, nejsou dnes dostatečné, protože moderní útoky používají ohrožení identity, útok phishing a napadení relace a nejsou závislé na síťovém umístění.

nulová důvěra (Zero Trust) nahrazuje tento model tímto:

• Zacházení s každou žádostí o přístup jako nedůvěryhodných bez ohledu na původ.
• Rozhodování na základě kontextu v reálném čase
• Rozšíření odpovědnosti za bezpečnost.

Směny kláves

Klíčové změny v zabezpečení podle modelu nulová důvěra (Zero Trust) znamenají, že:

• Ochrana se řídí aktivem Prostředky nejsou ze své podstaty chráněné tím, kde se nacházejí. Každá žádost o přístup je explicitně ověřená, přístup k citlivým prostředkům je úzce omezený a aktivita se průběžně monitoruje pro hrozby.
• Access se vždy ověří a monitoruje . Rozhodnutí o zabezpečení jsou založená na aktuálních podmínkách.
• Zabezpečení není jenom technologie Lidé a procesy představují riziko.
  • Chování lidí, jako je používání neschválených dat, sdílení přihlašovacích údajů, nedostatečné dodržování bezpečnostních zásad a další obcházení bezpečnostních postupů, může vytvářet zranitelnosti, které útočníci zneužívají.
  • Procesy, jako je nasazení systému, sdílení dat a vynucení řízení zabezpečení, přímo ovlivňují riziko.
• Všichni sdílejí odpovědnost Musíme si uvědomit, že zabezpečení je práce všech.
  • Nepřetržité ověřování a nejnižší úroveň oprávnění pomáhají snížit dopad lidských faktorů.
  • Kontrolní mechanismy zabezpečení musí být v souladu s reálným využitím a rozhodováním.

Cesta strukturovaného přijetí

Zavedení zabezpečení nulová důvěra (Zero Trust) je postupný, dlouhodobý proces.

Každá organizace začíná na cestě z jiného místa, která je ovlivněná vyspělostí zabezpečení, stávající technologií a rizikovým profilem.

Strukturovaný přístup k přechodu zajišťuje, aby se zásady nulová důvěra (Zero Trust) konzistentně používaly při vyspělosti zabezpečení. Náš model strukturovaného přijetí se zaměřuje na tři komponenty:

• Obchodní scénáře Pomozte obchodním vedoucím pracovníkům definovat a určit prioritu výsledků zabezpečení pro organizaci a zaměřit se na nejdůležitější oblasti rizika.
• Disciplíny zabezpečení Provádějte týmy, které definují strategii, architekturu, procesy a kontroly napříč běžnými oblastmi zabezpečení. Každý podnikový scénář obvykle odpovídá jedné nebo více oblastem zabezpečení.
• Technologické pilíře Zaměřte se na konkrétní oblasti zabezpečení, jako je identita, data a zařízení. Pokyny k implementaci můžou být zaměřené na konkrétní obchodní scénář nebo se mohou zaměřit na konkrétní technologický pilíř.

Další kroky

• Pokud chcete začít se strukturovaným přechodem, postupujte podle našeho postupu přechodu na nulová důvěra (Zero Trust).
• Pokud se chcete ponořit do důležitých výsledků zabezpečení, začněte našimi obchodními scénáři.
• Pokud chcete začít hodnocením aktuálního stavu nulová důvěra (Zero Trust), začněte nulová důvěra (Zero Trust) hodnocení. Pokud se chcete ponořit přímo do implementace, projděte si implementaci technických řešení.