Megosztás

Zero Trust: Új megközelítés a digitális jövő védelmében

Megosztás

A Zero Trust (zéró bizalom) az IT-biztonság olyan megközelítése, amely abból indul ki, hogy sem személy, sem eszköz – legyen a hálózaton belül vagy kívül – nem tekinthető automatikusan megbízhatónak. Minden hálózati kapcsolat mindaddig nem megbízhatónak számít, amíg nem hitelesítik.

A modell néhány alapelvre épül: a felhasználó és az eszköz hitelesítése, a jogosultságok minimalizálása, a hálózat szegmentálása, folyamatos monitorozás és incidenskezelés. A cél a kockázat csökkentése és a hagyományos perem­védelemtől való függés mérséklése.

A Zero Trust fogalma az utóbbi időben nagyon gyakran kerül szóba a kiberbiztonsággal összefüggésben. A bizalmat mint formalizálható mennyiséget már 1994-ben leírta Stephen Paul Marsh a University of Stirlingen készült doktori disszertációjában, amelynek címe Formalising Trust as a Computational Concept. Éppen ez a koncepció vált később a kiberbiztonság kulcselemévé.

Nézzük meg, hogyan működik a Zero Trust, és melyek a legfontosabb elemei.

Javasoljuk

A Zero Trust kulcselemei

Identitás és hozzáférés

Minden felhasználót és eszközt hitelesíteni kell. Ide tartozik a kétfaktoros hitelesítés (2FA) és további hitelesítési módszerek. A modell abból indul ki, hogy minden felhasználó és eszköz potenciális fenyegetést jelent, ezért folyamatos ellenőrzésükre van szükség.

Minimális jogosultság

Minden felhasználó csak azokhoz az erőforrásokhoz fér hozzá, amelyekre a munkájához feltétlenül szüksége van.

Az eszközök védelme

A hálózatra csatlakozó minden eszközt védeni kell. Ide tartoznak a szoftverfrissítések, a vírusvédelem és további intézkedések.

Hálózati szegmentáció

A hálózat kisebb, elkülönített szegmensekre oszlik, ami korlátozza a kritikus erőforrásokhoz való hozzáférést, és csökkenti a fenyegetések továbbterjedésének kockázatát.

Folyamatos monitorozás

A hálózati tevékenységet folyamatosan figyelik, hogy a lehetséges fenyegetéseket gyorsan azonosítani lehessen, és valós időben reagálni lehessen rájuk.

Incidenskezelés

Tervek kidolgozása és lépések végrehajtása a biztonsági incidensekre adott gyors reagálás érdekében, hogy a károk minimálisak maradjanak.

A Zero Trust előnyei

Magasabb biztonsági szint

A szigorú hitelesítésnek és a hálózati szegmentációnak köszönhetően a támadók nehezebben férnek hozzá az érzékeny információkhoz.

Jobb átláthatóság

A folyamatos monitorozás révén jobb rálátás nyílik a hálózaton zajló eseményekre.

A támadók mozgásterének korlátozása

A szegmentációnak és a minimális jogosultságoknak köszönhetően a támadók korlátozottan tudnak mozogni a hálózaton belül.

Illusztráció: AI-generated

A Zero Trust architektúra bevezetése

A Zero Trust architektúra bevezetése alapos tervezést és az egész szervezetre kiterjedő együttműködést igényel. Éppen ez az a tényező, amely sok céget elriaszt, és emiatt kerülik a Zero Trust bevezetését. Néhány alapvető lépés segít az indulásban.

A meglévő környezet elemzése

Az összes felhasználó, eszköz és hozzáférési pont felmérése.

Hitelesítési szabályok beállítása

A kétfaktoros (2FA) és a többfaktoros hitelesítés (MFA), valamint további hitelesítési módszerek bevezetése.

Hálózati szegmentáció

A hálózat kisebb szegmensekre osztása az adatok és szolgáltatások kritikussága szerint.

Folyamatos monitorozás és elemzés

A hálózati forgalom figyelésére és elemzésére szolgáló eszközök bevezetése.

A munkatársak oktatása

A munkatársak képzése a biztonsági eljárásokról és a szabályzatok betartásának fontosságáról.

A Zero Trust jelentősen növelheti a szervezet biztonságát, ehhez azonban alapos tervezésre és folyamatos monitorozásra van szükség.

A Zero Trust bevezetésének fő okai

Biztonsági kockázatok

A kibertámadások növekvő száma és a kiberhadviselés technikáinak tökéletesedése.

A technológiák gyors fejlődése

A gyors előrehaladás olyan területeken, mint a cloud computing, az IoT és a mobileszközök, amelyek növelik a támadási felületet.

Szabályozás és előírások

A biztonsági előírások és szabályozások – például a GDPR és a CCPA – betartásával szemben támasztott magasabb követelmények.

Változások a munkakörnyezetben

Az áttérés a hibrid munkamodellekre, valamint a külső szolgáltatások és alkalmazások fokozott használata.

Tudatosság

Az adatbiztonság és a személyes adatok védelmének fontosságával kapcsolatos magasabb tudatosság.

Hol a legszigorúbb követelmény a Zero Trust bevezetése

A Zero Trust elsősorban ott érvényesül, ahol az érzékeny információk és adatok kritikusak a szervezet működése szempontjából. Ide tartoznak:

Állami és kormányzati szervek

A közintézményeknek biztosítaniuk kell az érzékeny személyes adatok és az állami információk védelmét.

Pénzügyi intézmények

A bankoknak, befektetési társaságoknak és más pénzügyi intézményeknek szigorú biztonsági előírásokat kell betartaniuk, és védeniük kell az érzékeny pénzügyi adatokat.

Egészségügyi intézmények

A kórházaknak és az egészségügyi szervezeteknek védeniük kell a betegek személyes és egészségügyi adatait.

Gyártó- és ipari vállalatok

Az érzékeny technológiákkal és gyártási eljárásokkal dolgozó cégeknek biztosítaniuk kell folyamataik védelmét, és óvniuk kell technológiai know-how-jukat.

Tudományos és kutatóintézetek

A kutatás-fejlesztéssel foglalkozó szervezeteknek védeniük kell kutatási adataikat és eredményeiket.

A Zero Trust azoknak a szervezeteknek is hasznos, amelyek hibrid munkamodellekre térnek át, és felhőszolgáltatásokat, IoT-eszközöket, valamint mobiltechnológiákat használnak.

Létezik olyan jogszabály, amely előírja vagy ajánlja a Zero Trust bevezetését?

Több olyan jogszabály és irányelv is létezik, amely támogatja vagy ajánlja a Zero Trust modell bevezetését. Az Európai Unióban elfogadták a NIS2 (Network and Information Systems) irányelvet. Ez új szabályokat vezet be a kiberbiztonság biztosítására és a szervezetek kiberfenyegetésekkel szembeni védelmére. Azoknak a szervezeteknek, amelyekre az irányelv vonatkozik, olyan technikai és üzemeltetési intézkedéseket kell bevezetniük, amelyek növelik az ellenálló képességet ezekkel a fenyegetésekkel szemben. A Zero Trustot az irányelv a (89) preambulumbekezdésben említi, ahol a zéró bizalom elveit az alapvető kiberhigiéniai gyakorlatok között sorolja fel – a szoftverfrissítésekkel, az eszközkonfigurációval, a hálózati szegmentációval, az identitás- és hozzáféréskezeléssel, valamint a felhasználói tudatosság növelésével együtt. Maga a 21. cikk, amely a kockázatkezelés kötelező intézkedéseit határozza meg, név szerint nem írja elő a Zero Trust modellt; követelményei (hozzáférés-kezelés, MFA, szegmentáció, folyamatos monitorozás) azonban átfedésben állnak a Zero Trust elveivel.

Az Egyesült Államokban Joseph Biden elnök 2021. május 12-én írta alá az ország kiberbiztonságának javításáról szóló 14028. számú elnöki rendeletet (Improving the Nation's Cybersecurity). Ennek harmadik szakasza, amely a szövetségi kormányzat kiberbiztonságának korszerűsítésével foglalkozik, előírja a szövetségi hivatalok számára, hogy haladjanak a Zero Trust architektúra felé. Az ehhez kapcsolódó, 2022 januárjában kiadott OMB M-22-09 memorandum ebből konkrét célokkal rendelkező nemzeti stratégiát csinált.

Térjünk vissza Marsh munkájához, amelyben a bizalmat véges, matematikailag leírható dologként vizsgálta. Arra az állításra támaszkodott, hogy a bizalom fogalma túlmutat az olyan emberi tényezőkön, mint az etika, az erkölcs, a jogszerűség, az igazságosság és az ítélőképesség. A bizalom sebezhetőség.

A Zero Trust az IT-biztonság modern megközelítése, amely éppen a bizalom hiányára épül. Alapja a felhasználóval és az eszközzel szembeni zéró bizalmi tolerancia, valamint az identitás és a hozzáférés folyamatos ellenőrzése. Ma a kiberbiztonság területén a legelterjedtebben ajánlott modellek közé tartozik.


2FA – bejelentkezéskor a jelszó mellett még egy biztonsági hitelesítési elemet is kér a rendszer.

CCPA (California Consumer Privacy Act) – kaliforniai fogyasztóvédelmi törvény. Tagállami jogszabály, amely erősíti a fogyasztók magánélethez fűződő jogait, és szabályozza a személyes adatok gyűjtését, felhasználását és értékesítését a Kaliforniában működő vállalatok részéről. Az európai GDPR kaliforniai megfelelője.

GDPR (General Data Protection Regulation) – az EU személyes adatok védelméről szóló rendelete, amely 2018. 5. 25-én lépett hatályba.

Blog További érdekes cikkek
Az Ön kosara
Üres a kosár
TonerDepot.hu – Tonerek, tintapatronok és patronok raktárról
Bejelentkezés
Nincs fiókja? Regisztráljon most
Menü