Koncepcja "Zero Trust"

Nigdy nie można być w 100% pewnym stanu swojego bezpieczeństwa informacji. Rozwój nowych metod ochrony danych wynosi technologie informatyczne na wyższy poziom. Uwierzytelnianie wieloskładnikowe, użytkownicy uprzywilejowani, biometria w kontroli dostępu – wszystko to stało się codziennością. W środowisku korporacyjnym domyślnie ufamy osobom wewnątrz sieci, a nie ufamy tym spoza niej. Dziś przyjrzymy się stosunkowo nowej koncepcji "Zero Trust" i jej przydatności w ochronie perymetru firmy, chmury oraz urządzeń mobilnych.

Czym jest "Zero Trust"?

Domyślnie za skompromitowanych uznaje się wszystkich użytkowników oraz wszystkie urządzenia, chmury, systemy i sieci, niezależnie od tego, czy chroni je zapora sieciowa. Koncepcja zerowego zaufania zakłada bardzo ścisłą kontrolę dostępu do systemów, dlatego nawet uwierzytelnieni użytkownicy przechodzą kilka etapów weryfikacji. Takie podejście pozwala znacząco zmniejszyć prawdopodobieństwo udanego ataku na system.

Ograniczenie dostępu poszczególnych użytkowników do segmentów sieci firmowej sprawia, że hakerzy mają mniej okazji, by dotrzeć do danych chronionych i poufnych. Kluczowym elementem koncepcji zerowego zaufania jest oczywiście uwierzytelnianie wieloskładnikowe (mechanizm zabezpieczający, który wymaga dodatkowej metody potwierdzenia tożsamości w czasie rzeczywistym, opartej na kategorii danych niezależnej od samego użytkownika).

Sieć firmowa a "Zero Trust"

Jak już wspomnieliśmy, przestarzała metoda ochrony perymetru firmy zakłada, że każdy użytkownik wewnątrz sieci korporacyjnej jest domyślnie "osobą zaufaną", a każdy użytkownik spoza tej sieci jest "niezaufany". Model ten funkcjonował i sprawdzał się przez ostatnie 20 lat, uzasadniając zasadę, że dostęp do programów i aplikacji mają wyłącznie wybrane osoby. Z czasem jednak ochrona perymetru okazywała się coraz mniej skuteczna, przede wszystkim ze względu na ogromny skok w rozwoju technologii chmurowych i mobilnych, systemów ochrony danych oraz powszechne przejście pracowników na pracę zdalną. W nowych realiach pojęcie "osoby zaufanej", zarówno wewnątrz firmy, jak i poza jej siecią, przestało istnieć. Nowy model traktuje wszystkich użytkowników domyślnie jako "niezaufanych" i wymaga od nich przejścia wszystkich etapów uzyskiwania dostępu, niezależnie od posiadanych uprawnień. O polityce "Zero Trust" zaczęto mówić w połowie lat dwutysięcznych, a jej główną ideą było zniesienie perymetru firmy i przejście do strategii ochrony danych firmowych na wszystkich poziomach za pomocą szyfrowania i uwierzytelniania wieloskładnikowego.

Rozwój koncepcji "Zero Trust"

W 2010 roku John Kindervag, analityk Forrester Research, ukuł termin "Zero Trust" na określenie polityki, której główną ideą jest brak zaufania do jakiegokolwiek użytkownika wewnątrz i na zewnątrz firmy. Firma musi zweryfikować każdego, kto próbuje połączyć się z siecią, zanim przyzna mu dostęp. Polityka "Zero Trust" podważa model ochrony oparty na zaporze sieciowej rozdzielającej sieć wewnętrzną i zewnętrzną. Taka strategia bezpieczeństwa rozsypuje się, gdy haker skompromituje system wewnątrz perymetru i zechce wykraść informacje poufne. W tradycyjnym systemie inspektorzy bezpieczeństwa informacji muszą więc ręcznie weryfikować i chronić wszystkie zasoby, przyznając i odbierając dostęp każdemu użytkownikowi z osobna.

Bezpieczeństwo chmury i urządzeń mobilnych w "Zero Trust"

Trzy główne zasady koncepcji zerowego zaufania:

• firmy muszą zapewnić bezpieczny dostęp do swoich sieci niezależnie od lokalizacji firmy czy pracownika;

• organizacje muszą kontrolować dostęp użytkowników tak, aby każdy sięgał wyłącznie po zasoby, których faktycznie potrzebuje. Powinny też uniemożliwiać dostęp do potencjalnie wrażliwych informacji i jasno definiować role pracowników. Chodzi o to, by w razie zwolnienia dane firmy pozostały wewnątrz organizacji;

• firmy muszą kontrolować i rejestrować ruch sieciowy, aby mieć pewność, że użytkownicy działają zgodnie z prawem.

Wraz z rosnącą liczbą urządzeń podłączanych do sieci firmowych coraz więcej organizacji wdraża specjalne rozwiązania programowe wspierające politykę "Zero Trust". Praktycznie każdy słyszał o systemach DLP – oprogramowaniu stworzonym po to, by zapobiegać wyciekom informacji poufnych i monitorować aktywność pracowników w godzinach pracy. Przyjrzyjmy się pokrótce, jak działa taki system, na przykładzie Anexet Ultimate od Scinero Software Limited.

Przykład systemu DLP Anexet Ultimate od Scinero Software Limited

Anexet Ultimate to system DLP, który chroni firmy przed wyciekami danych powodowanymi przez pracowników, monitoruje ich aktywność na komputerach, wykrywa potencjalne zagrożenia, a w razie incydentu niezwłocznie informuje o naruszeniu zespół bezpieczeństwa informacji organizacji lub wręcz zapobiega jego wystąpieniu.

Na komputerze instalowana jest aplikacja Anexet Ultimate Agent, która przechwytuje wysyłane i odbierane wiadomości oraz pliki, a także monitoruje wszystkie wykonywane na nim działania. Wszystkie przechwycone informacje trafiają na Twój serwer Anexet i przechodzą inteligentną analizę. W razie wykrycia naruszenia system może zablokować daną czynność i powiadomić firmową służbę bezpieczeństwa informacji.

System DLP sprawdza się w lokalnych sieciach firmowych, w sieciach o złożonej architekturze, w rozproszonych geograficznie oddziałach oraz w mobilnych miejscach pracy. Rozwiązanie to działa więc zgodnie z zasadami polityki "Zero Trust" i pomaga znacząco zmniejszyć ryzyko utraty poufnych danych organizacji.

Zgodnie z założeniami "Zero Trust" obowiązkowe jest również korzystanie z VPN podczas pracy w środowisku firmowym. Dziś firmy mają własne korporacyjne sieci VPN, które działają w połączeniu z innymi technicznymi metodami ochrony informacji.

Przyszłość Zero Trust

Technologie rozwijają się z dnia na dzień, a napastnicy wymyślają coraz bardziej wyrafinowane sposoby atakowania systemów, dlatego światowa społeczność IT uznała już zasadność koncepcji "Zero Trust" za bezdyskusyjną i szeroko wdraża ten model w firmach. Potencjał "Zero Trust" jako pierwsze dostrzegają oczywiście duże firmy technologiczne. Analitycy przewidują, że w latach 2025-2030 model "Zero Trust" upowszechni się na całym świecie.

Na "Zero Trust" i systemy DLP przechodzą w pierwszej kolejności ci, dla których zachowanie poufnych danych firmy jest priorytetem. Wszystkie te elementy działają razem i zapewniają maksymalne bezpieczeństwo danych firmowych.