Что такое нулевое доверие?
20 лет назад жизнь была намного проще, включая сетевую безопасность. С развитием технологий возросла и сложность защиты данных. В те времена можно было полагаться на подход «доверяй, но проверяй», основанный на периметре. Любой, кто мог подтвердить свою личность в сети, мог получить доступ ко всем ресурсам организации. А поскольку большинство деловых операций происходило в офисе на устройствах компании, это был довольно надежный подход.
С большим ростом приходят и проблемы. В сети к ним относятся нарушения безопасности, достаточно «умные», чтобы превзойти защиту по периметру. А с внедрением облачных вычислений и, как следствие, ростом удаленной работы, проблемы усилились. Доверять, но проверять стало недостаточно. Для решения этих новых проблем безопасности появилась «депериметризация», известная теперь как Zero Trust.
Основы нулевого доверия сегодня
Основанный на концепции «никогда не доверяй, всегда проверяй», принцип Zero Trust является основой киберустойчивой организации. Личность всех пользователей должна быть проверена, прежде чем им будут предоставлены необходимые привилегии для доступа к ключевым компонентам организации, таким как приложения и данные. Успех требует не только стратегического планирования, но и согласованности и участия сотрудников
Сложность бизнеса продолжает расти с требованиями к гибридным и удаленным сотрудникам, сложностью хранения данных и многочисленными платформами и средами, которые необходимо защищать. Внедрение архитектуры Zero Trust Architecture (ZTA), известной также как архитектура нулевого доверия, требует изменения мышления. Чтобы лучше понять это, давайте рассмотрим несколько ключевых терминов, связанных с ZT.
Ключевые термины, которые необходимо знать:
- Непрерывная проверка. Это основа принципа «никогда не доверяй, всегда проверяй». Она требует проверки учетных данных на любом устройстве в любое время для любого ресурса. Самой сложной частью непрерывной проверки является пользовательский опыт. Вы можете управлять непрерывной проверкой с помощью условного доступа на основе рисков. Таким образом, пользователь прерывается для проверки только при изменении уровня риска, что обеспечивает более спокойную работу сотрудников.
- Наименее привилегированный доступ. Предоставляет только минимальный набор разрешений для доступа к системе с точки зрения производительности, обеспечивая при этом сохранность защищаемых данных.
- Управление идентификацией. Этот элемент управления безопасностью обеспечивает цифровое подтверждение личности устройства и пользователя с помощью протоколов безопасности и одного или нескольких факторов аутентификации.
«Нулевое доверие» – это стратегия кибербезопасности, основанная на идее о том, что ни один пользователь или актив не должен пользоваться неявным доверием. Она предполагает, что нарушение уже произошло или произойдет, и поэтому пользователю не должен предоставляться доступ к конфиденциальной информации на основании одной проверки, проведенной на периметре предприятия. Вместо этого каждый пользователь, устройство, приложение и транзакция должны постоянно проверяться».
Консультативный комитет по телекоммуникациям национальной безопасности
Чем не является Zero Trust
Существует несколько заблуждений относительно Zero Trust.
- Это не отдельный продукт или набор продуктов.
- Это не операция «установил и забыл» с универсальной метрикой.
- Безопасность – не единственное преимущество.
- Она не подразумевает недоверия к вашим сотрудникам.
Zero Trust требует изменения менталитета, но это тот подход, который поможет вашей организации повысить уровень безопасности и обеспечить соответствие нормативным требованиям, одновременно снижая сложность и затраты с течением времени. Его необходимо постоянно оценивать, корректировать и совершенствовать в соответствии с уникальными потребностями вашего бизнеса.
Столпы нулевого доверия
В связи с растущими проблемами кибербезопасности, возникающими из-за растущего количества удаленных рабочих мест, в 2021 году был издан указ о повышении национальной кибербезопасности. Одним из результатов этого распоряжения стал выпуск первой модели зрелости нулевого доверия (Zero Trust Maturity Model, или ZTMM) от Национального агентства по кибербезопасности и защите инфраструктуры (CISA). Выпущенное в 2023 году последнее обновление расширяет пять основных столпов Zero Trust. Эти столпы описывают путь роста, который может пройти ваша организация на пути к внедрению Zero Trust.
Эволюция Zero Trust может выглядеть следующим образом:
- Вы можете начать практически с нуля – традиционного периодического пересмотра постоянного доступа и создания плана по внедрению фондов Zero Trust по одному компоненту за раз.
- Затем начните планирование и внедрение автоматизации с базовой координации между компонентами и планирования наименее привилегированного доступа.
- Продвигайте автоматизированные средства управления, координируя весь жизненный цикл каждого компонента с развитием наименее привилегированного доступа, включая оценку рисков и позиций.
- Наконец, оптимизируйте полностью автоматизированный план с динамическим наименее привилегированным доступом и плавной координацией по всем пяти компонентам.
Как указано в последнем выпуске ZTMM, «эти стадии зрелости и детали, связанные с каждым компонентом, позволяют агентствам оценивать, планировать и поддерживать инвестиции, необходимые для продвижения к ZTA».
Что дальше?
Созревание модели Zero Trust Maturity Model будет продолжаться и дальше. Хотя не существует одного продукта или набора продуктов, которые отвечают всем потребностям Zero Trust, такие технологические партнеры, как Veritas, могут внести существенный вклад в планирование и позиционирование Zero Trust.
Узнайте больше о Cyber Resiliency Solutions от Veritas.
