Bezpieczeństwo Zero Trust Usługi konsultingowe

Zero trust to zasada, zgodnie z którą żaden użytkownik, urządzenie ani system nie jest domyślnie zaufany tylko dlatego, gdzie się znajduje. Każde żądanie danych lub uprawnienia jest sprawdzane, niezależnie od tego, czy pochodzi z wewnątrz dawnej granicy sieci, czy spoza niej. Sieć biurowa przestaje być bezpieczną stroną ogrodzenia.

Co obejmuje

• Tożsamość przede wszystkim: każda decyzja o dostępie zaczyna się od zweryfikowanej tożsamości, zarówno dla ludzi, usług, jak i maszyn.
• Zasada najmniejszych uprawnień: dostęp przyznawany jest do konkretnego zadania i konkretnego zasobu, a nie do szerokiej roli obejmującej wszystko.
• Ciągłe kontrole: decyzja o zezwoleniu może zostać cofnięta, gdy zmieni się kontekst: nowe urządzenie, ryzykowna lokalizacja, nietypowy wzorzec.
• Segmentacja sieci: ograniczenie ruchu bocznego, aby naruszenie w jednym obszarze nie objęło całego środowiska.

Dlaczego to ma znaczenie

• Praca zdalna i hybrydowa: założenie, że użytkownicy znajdują się w chronionej sieci, przestaje być aktualne, a wraz z nim bezpieczeństwo na nim oparte.
• Dostęp stron trzecich: dostawcy, kontrahenci i integracje wymagają takich samych kontroli jak pracownicy wewnętrzni, co jest trudne, gdy granicą była sieć.
• Powierzchnia ataku: każda usługa dostępna bez kontroli to otwarte drzwi. Ich zamknięcie zmniejsza prawdopodobieństwo naruszenia, a nie tylko jego skutki.

Co należy rozważyć

• Tarcie: dodatkowe kontrole spowalniają legalną pracę. Projekt musi równoważyć koszt kroku zwiększającego tarcie z kosztem otwartych drzwi.
• Rozrost tożsamości: im więcej tożsamości (ludzkich, usługowych, maszynowych), tym większy zbiór wymagający takiej samej staranności.
• Istniejąca infrastruktura: systemy starszego typu opierają się kontrolom dla każdego żądania. Objęcie najpierw najbardziej wrażliwych zasobów jest bardziej realistyczne niż program wszystko albo nic.

Jak NobleConsul może pomóc

W odpowiednich przypadkach NobleConsul może wspierać ocenę obecnego modelu dostępu, identyfikację celów o najwyższej wartości dla kontroli zero trust oraz zaprojektowanie stopniowego wdrożenia jako możliwych działań doradczych.