Η έννοια του "Zero Trust"

Ποτέ δεν μπορείτε να είστε 100% σίγουροι για την ασφάλεια των πληροφοριών σας. Η ανάπτυξη νέων τύπων προστασίας δεδομένων ανεβάζει την τεχνολογία πληροφοριών σε υψηλότερο επίπεδο. Ο πολυπαραγοντικός έλεγχος ταυτότητας, οι προνομιούχοι χρήστες, τα βιομετρικά για πρόσβαση – όλα αυτά έχουν γίνει κάτι κοινό. Σε ένα εταιρικό περιβάλλον, εμπιστευόμαστε εξ ορισμού τα άτομα εντός του δικτύου και δεν εμπιστευόμαστε αυτά εκτός αυτού. Σήμερα, θα εξερευνήσουμε τη σχετικά νέα έννοια του "Zero Trust" και τη χρησιμότητά της στην περίμετρο μιας εταιρείας, στο cloud και στην κινητή ασφάλεια.

Τι είναι το "Zero Trust";

Εξ ορισμού, όλοι οι χρήστες, οι συσκευές, τα cloud, τα συστήματα και τα δίκτυα θεωρούνται παραβιασμένα, ανεξάρτητα από το αν προστατεύονται από firewall. Η έννοια του zero trust περιλαμβάνει πολύ αυστηρό έλεγχο πρόσβασης στα συστήματα, έτσι ώστε ακόμη και οι πιστοποιημένοι χρήστες να περνούν από πολλά στάδια επαλήθευσης. Αυτή η μέθοδος βοηθά να μειωθεί σημαντικά η πιθανότητα επιτυχούς επίθεσης στο σύστημα.

Περιορίζοντας την πρόσβαση διαφορετικών χρηστών σε τμήματα του εταιρικού δικτύου, οι χάκερ έχουν λιγότερες ευκαιρίες να αποκτήσουν πρόσβαση σε προστατευμένα ή εμπιστευτικά δεδομένα. Φυσικά, η βασική αξία της έννοιας του zero trust είναι ο πολυπαραγοντικός έλεγχος ταυτότητας (ένας μηχανισμός ασφαλείας που απαιτεί μια επιπλέον μέθοδο ελέγχου ταυτότητας σε πραγματικό χρόνο, χρησιμοποιώντας μια κατηγορία δεδομένων ανεξάρτητη από τον χρήστη).

Εταιρικό δίκτυο vs "Zero Trust"

Όπως έχουμε ήδη πει, η ξεπερασμένη μέθοδος προστασίας της περιμέτρου μιας εταιρείας θεωρεί ότι κάθε χρήστης εντός του εταιρικού δικτύου είναι, εξ ορισμού, ένα "έμπιστο πρόσωπο", ενώ κάθε χρήστης εκτός του εταιρικού δικτύου είναι, αντίστοιχα, "μη έμπιστος". Αυτό το μοντέλο υπήρχε και ευδοκιμούσε τα τελευταία 20 χρόνια για να δικαιολογήσει το γεγονός ότι μόνο συγκεκριμένα άτομα έχουν πρόσβαση σε προγράμματα και εφαρμογές. Ωστόσο, με τον καιρό, αυτό το μοντέλο ασφάλειας περιμέτρου αποδείχθηκε όλο και λιγότερο αποτελεσματικό, ιδίως λόγω της τεράστιας προόδου στην ανάπτυξη τεχνολογιών cloud, κινητών τεχνολογιών, συστημάτων προστασίας δεδομένων, και της ευρείας μετάβασης των εργαζομένων σε απομακρυσμένη εργασία. Ως αποτέλεσμα, στο νέο περιβάλλον, η έννοια ενός "έμπιστου προσώπου" εντός και εκτός του εταιρικού δικτύου δεν υφίσταται πλέον. Το νέο μοντέλο αντιμετωπίζει όλους τους χρήστες ως "μη έμπιστους" εξ ορισμού και τους αναγκάζει να περάσουν από όλα τα στάδια απόκτησης πρόσβασης, ανεξάρτητα από τα προνόμιά τους. Η πολιτική "Zero Trust" συζητήθηκε για πρώτη φορά στα μέσα της δεκαετίας του 2000, με βασική ιδέα την "αποπεριμετροποίηση" της εταιρείας και τη μετάβαση στη στρατηγική προστασίας των εταιρικών δεδομένων σε όλα τα επίπεδα με χρήση κρυπτογράφησης και πολυπαραγοντικού ελέγχου ταυτότητας.

Η εξέλιξη του "Zero Trust"

Το 2010, ο John Kindervag, αναλυτής στην Forester Research, εισήγαγε τον όρο πολιτική "Zero Trust", η βασική ιδέα της οποίας ήταν η δυσπιστία απέναντι σε κάθε χρήστη εντός και εκτός της εταιρείας. Η εταιρεία πρέπει να επαληθεύει οποιονδήποτε προσπαθεί να συνδεθεί με το δίκτυο πριν του δοθεί πρόσβαση. Η πολιτική "Zero Trust" αμφισβητεί το μοντέλο προστασίας που χρησιμοποιεί firewall ανάμεσα σε εσωτερικά και εξωτερικά δίκτυα. Μια τέτοια στρατηγική ασφαλείας καταρρέει αν ένας χάκερ παραβιάσει το σύστημα εντός της περιμέτρου και θελήσει να κλέψει εμπιστευτικές πληροφορίες. Έτσι, σε ένα συμβατικό σύστημα, οι επιθεωρητές ασφάλειας πληροφοριών πρέπει να επαληθεύουν και να προστατεύουν χειροκίνητα όλους τους πόρους, χορηγώντας και ανακαλώντας πρόσβαση σε κάθε χρήστη ξεχωριστά.

Ασφάλεια cloud και κινητών στο "Zero Trust"

Οι τρεις κύριες αρχές της έννοιας zero trust:

• οι εταιρείες πρέπει να παρέχουν ασφαλή πρόσβαση στα δίκτυά τους ανεξάρτητα από την τοποθεσία της εταιρείας ή του εργαζομένου·

• οι οργανισμοί πρέπει να ελέγχουν την πρόσβαση των χρηστών, ώστε αυτοί να έχουν πρόσβαση μόνο στους πόρους που χρειάζονται. Επιπλέον, οι επιχειρήσεις πρέπει να αποτρέπουν την πρόσβαση χρηστών σε δυνητικά ευαίσθητες πληροφορίες και να ορίζουν σαφώς τους ρόλους των εργαζομένων. Αυτό γίνεται για να διασφαλιστεί ότι τα ιδιωτικά δεδομένα παραμένουν εντός της εταιρείας σε περίπτωση απόλυσης·

• οι εταιρείες πρέπει να επιθεωρούν και να καταγράφουν την κίνηση δικτύου ώστε να διασφαλίζουν ότι οι χρήστες ενεργούν νόμιμα.

Με τον αυξανόμενο αριθμό συσκευών συνδεδεμένων σε εταιρικά δίκτυα, όλο και περισσότεροι οργανισμοί έχουν αρχίσει να εφαρμόζουν ειδικές λύσεις λογισμικού που υποστηρίζουν την πολιτική "Zero Trust". Όλοι έχουν πιθανότατα ακούσει για τα συστήματα DLP – ειδικό λογισμικό σχεδιασμένο να αποτρέπει διαρροές εμπιστευτικών πληροφοριών και να παρακολουθεί τη δραστηριότητα των εργαζομένων κατά τη διάρκεια της εργάσιμης ημέρας. Ας δούμε σύντομα πώς λειτουργεί ένα τέτοιο σύστημα, χρησιμοποιώντας ως παράδειγμα το Anexet Ultimate της Scinero Software Limited.

Παράδειγμα του συστήματος DLP Anexet Ultimate της Scinero Software Limited

Το Anexet Ultimate είναι ένα σύστημα DLP που προστατεύει τις εταιρείες από διαρροές δεδομένων που προκαλούνται από εργαζομένους, παρακολουθεί τη δραστηριότητά τους στον υπολογιστή, εντοπίζει πιθανές απειλές και, σε περίπτωση περιστατικού, αναφέρει άμεσα την παραβίαση στην ομάδα ασφάλειας πληροφοριών του οργανισμού ή ακόμη αποτρέπει την εμφάνιση του περιστατικού.

Η εφαρμογή Anexet Ultimate Agent εγκαθίσταται στον υπολογιστή, όπου υποκλέπτει απεσταλμένα και ληφθέντα μηνύματα και αρχεία και παρακολουθεί όλες τις ενέργειες που εκτελούνται στον υπολογιστή. Όλες οι υποκλαπείσες πληροφορίες αποστέλλονται στον διακομιστή σας Anexet και υποβάλλονται σε ευφυή ανάλυση. Αν εντοπιστεί παραβίαση, το σύστημα μπορεί να μπλοκάρει μια ενέργεια και να ειδοποιήσει την υπηρεσία ασφάλειας πληροφοριών της εταιρείας.

Το σύστημα DLP μπορεί να χρησιμοποιηθεί σε τοπικά εταιρικά δίκτυα, δίκτυα με πολύπλοκη αρχιτεκτονική, γεωγραφικά κατανεμημένα γραφεία και κινητούς χώρους εργασίας. Έτσι, αυτή η λύση λογισμικού λειτουργεί σύμφωνα με τις αρχές της πολιτικής "Zero Trust" και θα βοηθήσει να μειωθούν σημαντικά οι πιθανότητες απώλειας εμπιστευτικών δεδομένων που ανήκουν σε έναν οργανισμό.

Επίσης, σύμφωνα με το "Zero Trust", η χρήση VPN είναι υποχρεωτική κατά την εργασία σε εταιρικό περιβάλλον. Επί του παρόντος, οι εταιρείες διαθέτουν το δικό τους εταιρικό VPN, το οποίο λειτουργεί σε συνδυασμό με άλλες τεχνολογικές μεθόδους προστασίας πληροφοριών.

Το μέλλον του Zero Trust

Καθώς η τεχνολογία εξελίσσεται καθημερινά και οι επιτιθέμενοι επινοούν όλο και πιο εξελιγμένους τρόπους επίθεσης σε συστήματα, η παγκόσμια κοινότητα IT έχει ήδη αναγνωρίσει την απόλυτη εγκυρότητα της έννοιας "Zero Trust" και εφαρμόζει ευρέως αυτό το μοντέλο σε εταιρείες. Φυσικά, οι μεγάλες τεχνολογικές εταιρείες είναι οι πρώτες που αντιλαμβάνονται το δυναμικό του "Zero Trust". Συνολικά, οι αναλυτές προβλέπουν ότι έως το 2025-2030, το μοντέλο "Zero Trust" θα εξαπλωθεί ευρέως σε όλο τον κόσμο.

Όσοι θεωρούν προτεραιότητα τη διατήρηση εμπιστευτικών εταιρικών δεδομένων είναι οι πρώτοι που στρέφονται στο "Zero Trust" και στα συστήματα DLP. Όλα αυτά λειτουργούν μαζί για να διασφαλίσουν τη μέγιστη ασφάλεια των εταιρικών δεδομένων.