Model Zero Trust to koncepcja cyberbezpieczeństwa, w której brak zaufania dla użytkowników, systemów lub usług w obrębie sieci stosowany domyślnie. Podstawową zasadą Zero Trust jest zawsze weryfikować tożsamość użytkownika, a najlepszym sposobem na to jest nowoczesne MFA.
Umów demo aby zobaczyć jak dodać nowoczesne MFA do jednej z Twoich aplikacji w mniej niż 5 minut bez wprowadzania zmian w jej kodzie.
Praca zdalna przesunęła granicę bezpieczeństwa przedsiębiorstw i zmieniła sposób, w jaki chronione są sieci biurowe. Obecnie zespoły ds. bezpieczeństwa stoją przed zadaniem zabezpieczenia stacji roboczych pracowników w domu, kawiarniach i innych miejscach, z których pracownicy łączą się z siecią w celu wykonywania swoich obowiązków. Co to oznacza?
Różnica między sieciami zaufanymi i niezaufanymi już się zatarła. Jak sama nazwa wskazuje, przy zerowym zaufaniu wszystko wymaga weryfikacji.
Podejście zerowego zaufania opiera się na trzech podstawowych zasadach:
W modelu zerowego zaufania zanim jakiekolwiek żądanie dostępu zostanie przyznane, musi zostać uwierzytelnione, zautoryzowane i zaszyfrowane. Uwierzytelnianie i autoryzacja tożsamości opierają się na wszystkich dostępnych obserwacjach, które obejmują takie elementy, jak tożsamość użytkownika, klasyfikację danych, stan urządzenia i aplikacji oraz lokalizację.
Bez względu na to, czy użytkownik łączy się z biura, domu czy kawiarni, podejście jest zawsze takie samo. Zawsze dokonuje się weryfikacji, korzysta z zasady najmniej uprzywilejowanego dostępu i zakłada, że w dowolnym momencie może dojść do włamania. Silne polityki bezpieczeństwa są podstawą zerowego zaufania. Pozwalają zespołom ds. bezpieczeństwa na ochronę innych pracowników (bez względu na to, skąd się łączą) przy jednoczesnym zachowaniu produktywności.
Model Zero Trust został utworzony w 2010 roku przez Johna Kindervaga, wówczas głównego analityka w firmie Forrester Research Inc. O samym pomyśle dyskutowano jednak już wcześniej. W 2003 roku uznano, że zespoły ds. cyberbezpieczeństwa skupiają się na weryfikacji niewłaściwych kwestii, a użytkownicy korzystający z firmowych sieci cieszą się zbyt dużymi przywilejami. Następnie opracowano trzy podstawowe filary dotyczące weryfikacji tożsamości i urządzeń. Prawdziwie fundamentalna zmiana polegała na tym, że aplikacje w końcu zastąpiły sieci jako główny przedmiot zainteresowania cyberbezpieczeństwa.
W przeszłości cyberbezpieczeństwo opierało się na narzędziach takich jak sieci VPN – aby połączyć się z wirtualną siecią prywatną, należało się zalogować. W takim modelu po zalogowaniu się użytkownika nie ma dalszej weryfikacji ani żadnej kontroli. Tym samym, jeśli cyberprzestępca włamie się do sieci VPN, może zdobyć dostęp do danych firmy. Większość firm nadal korzysta z VPN, a niektóre z nich dodają kolejną warstwę bezpieczeństwa, polegającą na weryfikacji urządzenia użytkownika.
Administratorzy muszą monitorować nie tylko sieć i urządzenia, ale też inne elementy związane z uprawnieniami użytkowników. Ważne jest, aby odpowiedzieli sobie na dodatkowe pytania, takie jak:
Bez względu na wszystko jedna reguła pozostaje niezmienna i stanowi podstawę zerowego zaufania – każde działanie powinno być dozwolone tylko wtedy, gdy spełnione zostaną określone kryteria.
Wdrożenie zerowego zaufania obejmuje kilka kroków, jednak kwestią priorytetową jest weryfikacja użytkowników. Zespoły ds. bezpieczeństwa muszą mieć pewność, że każdy, kto próbuje korzystać z aplikacji firmowych, jest rzeczywiście tym, za kogo się podaje. Pomaga w tym podwójna weryfikacja. Najczęstszą jej formą jest uwierzytelnianie wieloskładnikowe (MFA) lub uwierzytelnianie dwuskładnikowe (2FA).
Implementację Zero Trust należy zacząć od uwierzytelnienia wieloskładnikowego. W tym celu warto skorzystać z User Access Security Broker – rozwiązania, które umożliwia zainstalowanie usługi MFA na dużą skalę w całej organizacji. To nowoczesne podejście do wdrażania uwierzytelniania wieloskładnikowego różni się od podejścia tradycyjnego, ponieważ nie wymaga żadnych prac programistycznych. Usługa MFA jest wdrażana w dowolnej aplikacji przez dodanie brokera zabezpieczeń do infrastruktury firmy, a następnie przekierowanie przez niego ruchu sieciowego. Aby dowiedzieć się więcej o User Access Security Broker, odwiedź zakładkę rozwiązania na naszej stronie internetowej.
Kolejnym krokiem przybliżającym organizacje do modelu zerowego zaufania jest wdrożenie mikroautoryzacji. Mikroautoryzacje od Secfense to jedna z funkcji User Access Security Broker, która zapewnia dodatkową warstwę bezpieczeństwa pracownikom korzystającym z aplikacji. Mikroautoryzacje to dodatkowe prośby o uwierzytelnienie, które mogą zostać włączone przez administratora i są wyświetlane za każdym razem, gdy użytkownicy próbują uzyskać dostęp do określonych zasobów w organizacji lub wykonać konkretne działanie. Prośba o uwierzytelnienie może zostać zaakceptowana przez użytkownika (w Modelu Właściciela) lub autoryzowana przez przełożonego (w Modelu Przełożonego). Jeśli chcesz uzyskać więcej informacji na temat mikroautoryzacji, przejdź do zakładki “Rozwiązania” na naszej stronie internetowej.
