Mô hình Zero Trust mặc định cho rằng không người dùng hay thiết bị nào đáng tin cậy. Mọi yêu cầu truy cập đều được xác minh. Danh tính, tình trạng thiết bị, vị trí và hành vi đều là những yếu tố ảnh hưởng đến quyết định. Mô hình cũ tin tưởng mọi thứ bên trong phạm vi mạng. Một khi đã vào được bên trong, bạn có quyền truy cập. Zero Trust loại bỏ ranh giới đó. Không có bên trong và bên ngoài. Chỉ có đã được xác minh và chưa được xác minh.

Mô hình này xuất hiện vì ranh giới bảo mật đã bị xóa bỏ. Làm việc từ xa, dịch vụ đám mây và thiết bị cá nhân đã khiến ranh giới mạng trở nên vô nghĩa. Nhân viên truy cập dữ liệu công ty từ nhà, sân bay và quán cà phê. Các nhà thầu kết nối từ máy tính xách tay của riêng họ. Tường lửa từng bảo vệ mọi thứ giờ đây hầu như không bảo vệ gì cả. Mô hình Zero Trust thay thế ranh giới bảo mật bằng định danh. Mọi yêu cầu đều được xác thực, ủy quyền và mã hóa. Phân đoạn vi mô hạn chế sự di chuyển ngang. Quyền hạn tối thiểu giới hạn những gì bất kỳ tài khoản nào có thể làm. Giám sát liên tục phát hiện các bất thường. Vụ vi phạm dữ liệu SolarWinds năm 2020 đã chứng minh vấn đề này. Kẻ tấn công đã sử dụng thông tin đăng nhập hợp lệ và các bản cập nhật phần mềm đáng tin cậy để di chuyển qua các mạng lưới giả định sự tin tưởng nội bộ. Mô hình Zero Trust sẽ không ngăn chặn được sự xâm nhập ban đầu. Nó có thể hạn chế sự lây lan. Việc triển khai diễn ra dần dần. Hầu hết các tổ chức bắt đầu với định danh và chuyển sang phân đoạn vi mô. Mô hình Zero Trust hoàn chỉnh là một hành trình, không phải là một sự mua sắm.

Nguyên tắc không tin tưởng

• Xác minh rõ ràng — xác thực và ủy quyền cho mọi yêu cầu
• Nguyên tắc quyền hạn tối thiểu — cấp quyền truy cập tối thiểu cần thiết.
• Giả định có sự xâm nhập — thiết kế như thể kẻ tấn công đã ở bên trong.
• Phân đoạn vi mô — hạn chế chuyển động ngang
• Giám sát liên tục — phát hiện các bất thường trong thời gian thực

Zero Trust không phải là một sản phẩm. Nó là một kiến ​​trúc. Công cụ không quan trọng bằng tư duy.