Sıfır güven yaklaşımı, varsayılan olarak hiçbir kullanıcının veya cihazın güvenilir olmadığını kabul eder. Her erişim isteği doğrulanır. Kimlik, cihaz sağlığı, konum ve davranış, karar verme sürecinde rol oynar. Eski model, ağ sınırları içindeki her şeye güvenirdi. İçeri girdikten sonra erişiminiz olurdu. Sıfır güven yaklaşımı, sınırları ortadan kaldırır. İçerisi ve dışarısı yoktur. Sadece doğrulanmış ve doğrulanmamış olanlar vardır.

Bu model, çevre sınırlarının ortadan kalkmasıyla ortaya çıktı. Uzaktan çalışma, bulut hizmetleri ve kişisel cihazlar, ağ sınırını anlamsız hale getirdi. Çalışanlar şirket verilerine evden, havaalanlarından ve kafelerden erişiyor. Yükleniciler kendi dizüstü bilgisayarlarından bağlanıyor. Bir zamanlar her şeyi koruyan güvenlik duvarı artık neredeyse hiçbir şeyi korumuyor. Sıfır güven, çevre sınırlarını kimlikle değiştiriyor. Her istek doğrulanıyor, yetkilendiriliyor ve şifreleniyor. Mikro segmentasyon, yatay hareketi sınırlıyor. En az ayrıcalık, herhangi bir hesabın yapabileceklerini sınırlıyor. Sürekli izleme, anormallikleri yakalıyor. 2020 SolarWinds ihlali bu sorunu gösterdi. Saldırganlar, iç güveni varsayan ağlarda hareket etmek için meşru kimlik bilgilerini ve güvenilir yazılım güncellemelerini kullandı. Sıfır güven, ilk saldırıyı durduramazdı. Ancak yayılmayı sınırlayabilirdi. Uygulama kademeli olarak gerçekleşir. Çoğu kuruluş kimlikle başlar ve mikro segmentasyona doğru ilerler. Tam sıfır güven bir yolculuktur, bir satın alma değil.

Sıfır güven ilkeleri

• Her isteği açıkça doğrulayın — kimlik doğrulaması yapın ve yetkilendirin.
• En az ayrıcalık ilkesi — gerekli olan minimum erişimi sağlamak.
• Saldırı varsayımı — saldırganların zaten içeride olduğu varsayımıyla tasarım yapın.
• Mikrosegmentasyon — yanal hareketi sınırlandırma
• Sürekli izleme — anormallikleri gerçek zamanlı olarak tespit etme

Sıfır güven bir ürün değil, bir mimaridir. Araçlar değil, zihniyet önemlidir.