Nollförtroende förutsätter att ingen användare eller enhet är pålitlig som standard. Varje åtkomstförfrågan verifieras. Identitet, enhetshälsotillstånd, plats och beteende påverkar alla beslutet. Den gamla modellen litade på allt innanför nätverkets perimeter. När du väl var inne hade du åtkomst. Nollförtroende tar bort perimetern. Det finns inget inomhus och utomhus. Det finns bara verifierat och overifierat.

Modellen uppstod eftersom perimetern upplöstes. Distansarbete, molntjänster och personliga enheter gjorde nätverksgränsen meningslös. Anställda får åtkomst till företagsdata hemifrån, flygplatser och kaféer. Entreprenörer ansluter från sina egna bärbara datorer. Brandväggen som en gång skyddade allt skyddar nu nästan ingenting. Nollförtroende ersätter perimetern med identitet. Varje begäran autentiseras, auktoriseras och krypteras. Mikrosegmentering begränsar lateral förflyttning. Minsta möjliga behörighet begränsar vad ett konto kan göra. Kontinuerlig övervakning upptäcker avvikelser. SolarWinds-intrånget 2020 demonstrerade problemet. Angripare använde legitima inloggningsuppgifter och betrodda programuppdateringar för att röra sig genom nätverk som antog internt förtroende. Nollförtroende skulle inte ha stoppat den initiala komprometten. Det kunde ha begränsat spridningen. Implementeringen sker gradvis. De flesta organisationer börjar med identitet och går mot mikrosegmentering. Fullständigt nollförtroende är en resa, inte ett köp.

Nollförtroendeprinciper

• Verifiera explicit – autentisera och auktorisera varje begäran
• Minst möjliga privilegier — bevilja minsta nödvändiga åtkomst
• Anta intrång — designa som om angripare redan är inne
• Mikrosegmentering — begränsa lateral rörelse
• Kontinuerlig övervakning — upptäck avvikelser i realtid

Nollförtroende är inte en produkt. Det är en arkitektur. Verktygen spelar mindre roll än tankesättet.