Vyvrátené: 6 mýtov o bezpečnosti nulovej dôvery

Bezpečnostný model Zero Trust nie je nový. Je to tak, odkedy John Kindervag z Forrester Research v roku 2010 napísal svoj článok „No More Chewy Centers: Introducing the Zero Trust Model of Information Security“.

Prístup nulovej dôvery sa sústreďuje na presvedčenie, že žiadnemu používateľovi alebo aplikácii by sa nemalo dôverovať, dokonca ani tým, ktorí sa už nachádzajú v rámci siete.

Túto myšlienku už prijali veľké spoločnosti a organizácie ako Google, Coca-Cola a NSA v boji proti rastúcej hrozbe kybernetických útokov. Stále však existujú prekážky, ktoré bránia jej bežnému prijatiu.

Mýty o bezpečnosti nulovej dôvery

Ako rastie záujem organizácií o modelový prístup nulovej dôvery, niektoré mylné predstavy o základných princípoch rámca sa postavili do cesty prijatiu. Tu je niekoľko mýtov, ktorým by ste nemali veriť.

Mýtus 1: Nulová dôvera vytvára kultúru nedôvery

Bežnou mylnou predstavou o nulovej dôvere je, že podporuje myšlienku nedôverovať svojim zamestnancom. Hoci rámec Zero Trust vyžaduje, aby spoločnosti kontrolovali používateľov pristupujúcich k ich sieťovým zdrojom, nemalo by sa to nesprávne interpretovať ako niečo osobné.

Faktom je, že dôvera predstavuje zraniteľnosť, ktorá môže vašu organizáciu vystaviť riziku útoku. Kyberzločinci špecificky využívajú dôveru k cieľovým spoločnostiam a Zero Trust ponúka spôsob, ako to zmierniť. Je to ekvivalent vstupu na kľúčovú kartu namiesto toho, aby umožnil každému vstúpiť do budovy.

Autor: pomocou princípu najmenšieho privilégia (POLP) môžu organizácie prispôsobiť svoje prahové pravidlá tak, aby používatelia mali prístup len k zdrojom, ktoré potrebujú, na základe dôvery, ktorú si získali.

Mýtus 2: Nulová dôvera je produkt

Zero Trust je stratégia alebo rámec, nie produkt. Je postavený na myšlienke nikdy nedôverovať a vždy overovať.

Rôzne produkty ponúkané predajcami môžu pomôcť dosiahnuť nulovú dôveru; nejde však o produkty Zero Trust. Sú to len produkty, ktoré dobre fungujú v prostredí Zero Trust. Ak vás teda predajca požiada, aby ste si kúpili jeho produkt Zero Trust, znamená to, že nerozumie základnému konceptu.

Súvisiace: Čo je to sieť s nulovou dôverou a ako chráni vaše údaje?

Pri správnej integrácii s architektúrou Zero Trust môžu rôzne produkty efektívne minimalizovať povrch útoku a obmedziť rádius výbuchu v prípade narušenia. Po úplnej implementácii môže riešenie Zero Trust s nepretržitým overovaním úplne eliminovať povrch útoku.

Mýtus 3: Existuje len jeden spôsob, ako zaviesť nulovú dôveru

Nulová dôvera je súborom bezpečnostných princípov, ktoré zahŕňajú neustále overovanie, princíp najmenej privilegovaného prístupu a zmierňovanie povrchu útoku.

V priebehu rokov sa objavili dva prístupy, ako začať s modelom Zero Trust. Prvý prístup začína identitou a zahŕňa viacfaktorovú autentifikáciu, ktorá prináša rýchle výsledky.

Súvisiace: Čo je to dvojfaktorová autentifikácia? Tu je dôvod, prečo by ste ho mali používať

Druhý prístup je zameraný na sieť a začína segmentáciou siete. Koncept zahŕňa vytváranie sieťových segmentov na riadenie prevádzky v rámci týchto segmentov a medzi nimi. Správcovia siete potom môžu udržiavať samostatné oprávnenie pre každý segment, čím obmedzujú šírenie laterálnych hrozieb v systéme.

Mýtus štvrtý: Nulová dôvera slúži len veľkým podnikom

Google bola jednou z prvých spoločností, ktoré nasadili architektúru Zero Trust v reakcii na operáciu Aurora v roku 2009. Išlo o sériu útokov zameraných na veľké podniky ako Google, Yahoo, Morgan Stanley a Adobe Systems.

Keď spoločnosť Google prijala model Zero Trust bezprostredne po útokoch, mnohé podniky si mysleli (a stále si myslia), že sa to týka iba veľkých organizácií. Táto predstava by bola pravdivá iba vtedy, ak by sa kybernetické útoky obmedzili na veľké podniky, čo nie je tento prípad. V skutočnosti asi 46 percent únikov údajov v roku 2021 boli zamerané na malé podniky.

Zatiaľ čo médiá majú tendenciu pokrývať úniky údajov ovplyvňujúce veľké podniky, nie je pochýb o tom, že aj malé podniky potrebujú ochranu pred kybernetickými útokmi.

Dobrou správou je, že malé organizácie nemusia pri implementácii modelu nulovej dôvery zlomiť banku. Keďže nejde o produkt, podniky ho môžu zavádzať postupne vyčlenením skromných ročných investícií do architektúry Zero Trust.

Mýtus 5: Nulová dôvera bráni používateľskej skúsenosti

Jednou z prekážok prijatia Zero Trust je vnímaný vplyv na používateľskú skúsenosť. Je pochopiteľné predpokladať, že pri neustálom overovaní identity používateľov by utrpela produktivita a agilnosť používateľov. Ak je však vhodne implementovaný, môže Zero Trust poskytnúť užívateľsky prívetivú skúsenosť.

Organizácie môžu hodnotiť užívateľské profily a kombinovať autentizáciu založenú na rizikách so strojovým učením, aby identifikovali riziká a robili rýchle rozhodnutia o prístupe. Ak je riziko vysoké, systém môže vyžadovať dodatočný autentifikačný krok alebo úplne zablokovať prístup na ochranu svojich zdrojov. Naopak, môže eliminovať problémy s autentifikáciou, ak je riziko nízke.

Prístup nulovej dôvery tiež znižuje zložitosť administratívnej stránky vecí. Dodávatelia a zamestnanci už nebudú zabezpečovať záväzky v prípade, že s vami prestanú obchodovať. V rámci efektívneho modelu nulovej dôvery systém okamžite ukončí ich prístup ku kľúčovým aktívam, čím eliminuje zadné vrátka.

Šiesty mýtus: Nulová dôvera je obmedzená na prostredie On-Prem

Mnoho firiem stále vníma nulovú dôveru ako model, ktorý je možné spravovať iba na mieste. To sa stáva hlavným problémom, pretože citlivé údaje sa teraz nachádzajú v hybridných a cloudových prostrediach. S rastúcim počtom kybernetických útokov a hackingov ovplyvňujúcich on-prem architektúru sa čoraz viac firiem presúva do cloudu.

Dobrou správou je, že nulová dôvera sa s ňou rýchlo pohybuje.

Súvisiace: Najlepšie narušenie bezpečnosti dát v cloude za posledné roky

Zavedením architektúry Zero Trust v cloude môžu spoločnosti chrániť citlivé údaje a znížiť vystavenie zraniteľným aktívam vo svojej sieti.

Okrem toho, keď sa kultúra práce na diaľku zintenzívňuje a počítačoví zločinci vyvíjajú nové spôsoby, ako využiť zraniteľné miesta, podniky, ktoré sa spoliehajú na vlastnú infraštruktúru, riskujú narušenie.

Nikdy never; Vždy overiť

Na základe počtu porušení údajov zameraných na organizácie je zrejmé, že starý prístup k bezpečnosti nestačí. Zatiaľ čo mnohí veria, že nulová dôvera je drahá a časovo náročná, je to fantastický liek na súčasné bezpečnostné problémy.

Model Zero Trust sa snaží odstrániť systémy založené na dôvere jednoducho preto, že je príliš často zneužívaný pri kybernetických útokoch. Funguje na princípe, že pred získaním prístupu k sieťovým zdrojom by mal byť každý a všetko overené. Toto je cenná snaha pre spoločnosti, ktoré chcú znížiť riziká a zlepšiť svoju bezpečnostnú pozíciu.

Ako môže zabezpečenie nulovej dôvery zabrániť útokom ransomvéru?

Tradičný bezpečnostný model sa ukázal ako neúčinný proti ransomvéru. Zistite, prečo je nulová dôvera najlepším spôsobom, ako poraziť kybernetické útoky.

Prečítajte si ďalej

O autorovi