Η μηδενική εμπιστοσύνη προϋποθέτει ότι κανένας χρήστης ή συσκευή δεν είναι αξιόπιστος από προεπιλογή. Κάθε αίτημα πρόσβασης επαληθεύεται. Η ταυτότητα, η εύρυθμη λειτουργία της συσκευής, η τοποθεσία και η συμπεριφορά της συσκευής επηρεάζουν όλα τα στοιχεία της απόφασης. Το παλιό μοντέλο εμπιστευόταν οτιδήποτε εντός της περιμέτρου του δικτύου. Μόλις μπαίνατε μέσα, αποκτούσατε πρόσβαση. Η μηδενική εμπιστοσύνη αφαιρεί την περίμετρο. Δεν υπάρχει εσωτερικό και εξωτερικό. Υπάρχει μόνο επαληθευμένο και μη επαληθευμένο.

Το μοντέλο προέκυψε επειδή η περίμετρος διαλύθηκε. Η απομακρυσμένη εργασία, οι υπηρεσίες cloud και οι προσωπικές συσκευές κατέστησαν τα όρια του δικτύου άνευ νοήματος. Οι εργαζόμενοι έχουν πρόσβαση σε δεδομένα της εταιρείας από το σπίτι, τα αεροδρόμια και τις καφετέριες. Οι εργολάβοι συνδέονται από τους δικούς τους φορητούς υπολογιστές. Το τείχος προστασίας που κάποτε προστάτευε τα πάντα τώρα δεν προστατεύει σχεδόν τίποτα. Η μηδενική εμπιστοσύνη αντικαθιστά την περίμετρο με ταυτότητα. Κάθε αίτημα ελέγχεται, εξουσιοδοτείται και κρυπτογραφείται. Η μικροτμηματοποίηση περιορίζει την πλευρική κίνηση. Τα ελάχιστα προνόμια περιορίζουν τι μπορεί να κάνει οποιοσδήποτε λογαριασμός. Η συνεχής παρακολούθηση εντοπίζει ανωμαλίες. Η παραβίαση του SolarWinds το 2020 κατέδειξε το πρόβλημα. Οι εισβολείς χρησιμοποίησαν νόμιμα διαπιστευτήρια και αξιόπιστες ενημερώσεις λογισμικού για να μετακινηθούν σε δίκτυα που υποθέτουν εσωτερική εμπιστοσύνη. Η μηδενική εμπιστοσύνη δεν θα είχε σταματήσει την αρχική παραβίαση. Θα μπορούσε να είχε περιορίσει την εξάπλωση. Η εφαρμογή είναι σταδιακή. Οι περισσότεροι οργανισμοί ξεκινούν με ταυτότητα και κινούνται προς τη μικροτμηματοποίηση. Η πλήρης μηδενική εμπιστοσύνη είναι ένα ταξίδι, όχι μια αγορά.

Αρχές μηδενικής εμπιστοσύνης

• Επαλήθευση ρητά — έλεγχος ταυτότητας και εξουσιοδότηση κάθε αιτήματος
• Ελάχιστα προνόμια — παραχώρηση ελάχιστης απαραίτητης πρόσβασης
• Υποθέστε παραβίαση — σχεδιάστε σαν οι εισβολείς να βρίσκονται ήδη μέσα
• Μικροτμηματοποίηση — περιορισμός πλευρικής κίνησης
• Συνεχής παρακολούθηση — ανίχνευση ανωμαλιών σε πραγματικό χρόνο

Η μηδενική εμπιστοσύνη δεν είναι προϊόν. Είναι μια αρχιτεκτονική. Τα εργαλεία έχουν λιγότερη σημασία από τη νοοτροπία.