Zero Trust zakłada, że ​​domyślnie żaden użytkownik ani urządzenie nie jest godne zaufania. Każde żądanie dostępu jest weryfikowane. Tożsamość, stan urządzenia, lokalizacja i zachowanie wpływają na decyzję. Stary model ufał wszystkiemu, co znajduje się w obrębie obwodu sieci. Po wejściu do środka, uzyskiwałeś dostęp. Zero Trust eliminuje granice. Nie ma wewnątrz i na zewnątrz. Są tylko zweryfikowane i niezweryfikowane.

Model powstał, ponieważ granica sieci uległa rozpuszczeniu. Praca zdalna, usługi w chmurze i urządzenia osobiste sprawiły, że granice sieci straciły znaczenie. Pracownicy uzyskują dostęp do danych firmowych z domu, lotnisk i kawiarni. Kontrahenci łączą się z własnych laptopów. Zapora sieciowa, która kiedyś chroniła wszystko, teraz chroni prawie nic. Zero Trust zastępuje granicę tożsamością. Każde żądanie jest uwierzytelniane, autoryzowane i szyfrowane. Mikrosegmentacja ogranicza ruch boczny. Minimalne uprawnienia ograniczają możliwości każdego konta. Ciągły monitoring wykrywa anomalie. Wyciek danych SolarWinds w 2020 roku pokazał ten problem. Atakujący wykorzystywali legalne dane uwierzytelniające i zaufane aktualizacje oprogramowania, aby poruszać się po sieciach, które zakładały wewnętrzne zaufanie. Zero Trust nie powstrzymałby początkowego naruszenia. Mógłby ograniczyć rozprzestrzenianie się. Wdrażanie jest stopniowe. Większość organizacji zaczyna od tożsamości i przechodzi do mikrosegmentacji. Pełne zero trust to proces, a nie zakup.

Zasady zerowego zaufania

• Weryfikuj jawnie — uwierzytelniaj i autoryzuj każde żądanie
• Najmniejsze uprawnienia — udziel minimalnego niezbędnego dostępu
• Załóż naruszenie — projektuj tak, jakby atakujący już byli w środku
• Mikrosegmentacja — ograniczenie ruchu bocznego
• Ciągły monitoring — wykrywaj anomalie w czasie rzeczywistym

Zero zaufania to nie produkt. To architektura. Narzędzia liczą się mniej niż nastawienie.