Zero Trust: Új megközelítés a digitális jövő védelmében

A Zero Trust az IT-biztonság olyan megközelítése, amely azon a feltevésen alapul, hogy a hálózaton vagy azon kívül egyetlen személyben vagy eszközben sem lehet automatikusan megbízni. Ehelyett az összes hálózati kapcsolatot nem megbízhatóként kezeli, amíg meg nem történik az ellenőrzésük. Ez a modell több kulcsfontosságú elvet tartalmaz: felhasználó és eszköz hitelesítés, jogosultságok minimalizálása, hálózat szegmentálás, folyamatos figyelés és válasz. Ezek alapvetően a Zero Trust architektúra alapelvei.

A közelmúltban a Zero Trust fogalmát nagyon gyakran emlegették a kiberbiztonság kapcsán. A Zero Trust első említését és meghatározását Stephen Paul Marsh már 1994-ben leírta a Stirlingi Egyetemen írt munkájában. Ez a koncepció a kiberbiztonság kulcsfontosságú elemévé vált.

A zéró bizalmi architektúra célja a kockázat minimalizálása és a szervezeti biztonság növelése azáltal, hogy csökkenti a hagyományos peremvédelmi intézkedésekre való támaszkodást. Bontsuk le a Zero Trust-ot, hogyan működik ez a modell, és melyek a kulcselemek.

forrás: canva

A Zero Trust kulcselemei

Identitás és hozzáférés

Minden felhasználót és eszközt hitelesíteni kell. Ez magában foglalja a kéttényezős hitelesítést (2FA) és más hitelesítési módszereket. Minden felhasználóról és eszközről feltételezik, hogy potenciális fenyegetést jelent, ezért folyamatosan ellenőrizni kell őket.

Minimális jogosultságok

Minden felhasználó csak azokhoz az erőforrásokhoz férhet hozzá, amelyekre feltétlenül szüksége van a munkájához.

Eszközbiztonság

A hálózathoz csatlakozó összes eszköznek biztonságosnak kell lennie. Ez magában foglalhatja a szoftverfrissítéseket, a vírusvédelmet és egyéb intézkedéseket.

Hálózati szegmentáció

A hálózat kisebb, elszigetelt szegmensekre van felosztva, ami korlátozza a kritikus erőforrásokhoz való hozzáférést és csökkenti a fenyegetések terjedésének kockázatát.

Folyamatos megfigyelés

A hálózati tevékenységet folyamatosan figyelik, hogy gyorsan, valós időben azonosítsák és reagáljanak a potenciális veszélyekre.

Az eseményekre adott válaszok

Tervek készítése és lépések végrehajtása a biztonsági incidensekre való gyors reagálás érdekében a károk lehető legkisebbre csökkentése érdekében.

A Zero Trust előnyei

Fokozott biztonság

A szigorú hitelesítés és a hálózati szegmentálás megnehezíti a támadók számára a bizalmas információkhoz való hozzáférést.

Javított láthatóság

A folyamatos figyelés jobb áttekintést tesz lehetővé a hálózatban zajló eseményekről.

A támadók mozgásának korlátozása

A szegmentálásnak és a minimális engedélyeknek köszönhetően a támadók korlátozott mozgási lehetőségei vannak a hálózatban.

A Zero Trust architektúra megvalósítása

A Zero Trust architektúra megvalósítása gondos tervezést és együttműködést igényel az egész szervezeten belül. Ez a tényező az, ami sok vállalat kedvét elriasztja, és igyekeznek elkerülni a Zero Trust használatát cégükben. Van néhány alapvető lépés az induláshoz. Fontos a következő lépések végrehajtása:

A meglévő környezet elemzése

Az összes felhasználó, eszköz és hozzáférési pont feltérképezése.

Hitelesítési házirendek beállítása

Kétfaktoros (2FA), többtényezős hitelesítés (MFA) és egyéb hitelesítési módszerek bevezetése.

Hálózati szegmentáció

A hálózat felosztása kisebb szegmensekre az adatok és szolgáltatások kritikussága szerint.

Folyamatos ellenőrzés és elemzés

Hálózati forgalom figyelésére és elemzésére szolgáló eszközök bevezetése.

Munkavállalói oktatás

Tanítsa meg alkalmazottait a biztonsági eljárásokról és az irányelvek betartásának fontosságáról.

A Zero Trust jelentősen növelheti a szervezet biztonságát, de alapos tervezést és folyamatos ellenőrzést igényel.

A Zero Trust bevezetésének fő okai

Biztonsági kockázatok

A kibertámadások számának növekedése és a kiberhadviselés technikáinak fejlesztése.

A technológia gyors fejlődése

A technológia, például a felhőalapú számítástechnika, az IoT és a mobileszközök gyors fejlődése megnöveli a támadások felületét.

Rendelet és előírások

Fokozott követelmény a biztonsági előírásoknak és rendeleteknek a betartása, például a GDPR-nak és a CCPA-nak.

Változások a munkakörnyezetben

Átállás a hibrid munkamodellekre és a külső szolgáltatások és alkalmazások fokozott igénybevétele.

Tudatosság és ösztönösség

Fokozott tudatosság az adatbiztonság és a személyes adatok védelmének fontosságára.

Ahol a Zero bizalom megvalósítása szigorúan kötelező

A Zero Trust bevezetése számos területen szigorúan kötelező, különösen ott, ahol az érzékeny információk és adatok kritikusak a szervezet működése szempontjából. Ezek a területek a következők:

Állami és kormányzati hatóságok

A közintézményeknek biztosítaniuk kell az érzékeny személyes adatok és állami információk védelmét.

Pénzintézetek

A bankoknak, befektetési társaságoknak és más pénzintézeteknek szigorú biztonsági előírásokat kell betartaniuk, és meg kell védeniük az érzékeny pénzügyi adatokat.

Orvosi létesítmények

A kórházaknak és egészségügyi szervezeteknek meg kell védeniük a betegek személyes és egészségügyi adatait.

Gyártó és ipari vállalkozások

Az érzékeny technológiákkal és gyártási folyamatokkal rendelkező vállalatnak biztosítania kell gyártási folyamatait és meg kell védenie technológiai know-how-ját.

Tudományos és kutatóintézetek

A kutatást és fejlesztést végző szervezeteknek meg kell védeniük kutatási adataikat és eredményeiket.

A Zero Trust nagyon hasznos azoknak a szervezeteknek is, amelyek hibrid működési modellekre térnek át, és felhőszolgáltatásokat, IoT-eszközöket és mobiltechnológiákat használnak.

Van olyan törvény, amely előírja vagy ajánlja a Zero Trust végrehajtását?

Számos törvény és irányelv létezik, amely támogatja vagy ajánlja a Zero Trust modell megvalósítását. A NIS2 (Network and Information Systems) irányelvet jóváhagyták az Európai Unió számára. Ez az irányelv számos új szabályt tartalmaz a kiberbiztonság biztosítására és a szervezetek kiberfenyegetésekkel szembeni védelmére. Az ezen irányelv hatálya alá tartozó szervezeteknek műszaki és operatív intézkedéseket kell végrehajtaniuk a kiberfenyegetések elleni ellenálló képesség növelése érdekében. A NIS2 irányelv hangsúlyozza a Zero Trust modell bevezetésének fontosságát is a magasabb szintű kiberbiztonságot biztosító intézkedések részeként.

Az Egyesült Államok esetében 2021-ben Joseph Biden amerikai elnök kiadta az úgynevezett végrehajtó parancsot az ország kiberbiztonságának javítására, amelyben a Zero Trust Architecture-t a szövetségi kormány kiberbiztonságának modernizálásának egyik legjobb gyakorlataként említik.

 Térjünk vissza Marsh munkájához, ahol a bizalmat úgy tárgyalta, mint valami véges dolgot, amit matematikailag leírhatunk. Munkája azon a feltevésen alapult, hogy a bizalom fogalma túlmutat az olyan emberi tényezőkön, mint az etika, az erkölcs, a törvényesség, az igazságosság és az ítélkezés. A bizalom sebezhetőséget jelent.

 A Zero Trust az informatikai biztonság modern megközelítése, amely pontosan a megbízhatatlanságon alapul. Ez a modell a zéró tolerancia felhasználó- és eszközmegbízhatóságára épül, állandó azonosság- és hozzáférés-ellenőrzéssel. Eddig a legjobb modellt képviseli a kiberbiztonság területén.

2FA - bejelentkezéskor a jelszó mellett még egy biztonsági hitelesítési elem szükséges

CCPA (California Consumer Privacy Act) – Kalifornia fogyasztóvédelmi törvénye, az állam törvénye, amely megerősíti a fogyasztók adatvédelmi jogait, és szabályozza a személyes adatok Kaliforniában működő vállalatok általi gyűjtését, felhasználását és értékesítését. Egyenértékű az Európai Unió GDPR-jával.

GDPR (General Data Protection Regulation) - 2018.05.25-én hatályba lépett EU rendelet a személyes adatok védelméről