„Zero Trust“ je postao marketinška fraza i mnogi vlasnici pretpostavljaju da znači skupe proizvode za velike korporacije. Ne znači. Iza modne reči stoji jednostavna, praktična ideja koja odgovara firmama svake veličine: ne verujte automatski nikome i ničemu samo zato što je unutar vaše mreže.
Starije razmišljanje o bezbednosti bilo je kao tvrđava sa rovom. Kad uđete unutra, svako može slobodno da luta. Danas ljudi rade od kuće, podaci su u cloud-u, a napadači se često prijavljuju ukradenim lozinkama umesto da provaljuju. Zid više ne štiti ono što je štitio. Zero Trust je način da zaštitite firmu kad nema jasnog zida.
Tri načela
- Izričito proverite. Svaki zahtev za pristup se proverava: ko traži, sa kog uređaja, odakle i za šta.
- Dajte najmanje privilegije. Ljudi i sistemi dobijaju samo pristup koji im treba za posao, i samo dok im treba.
- Pretpostavite proboj. Projektujte kao da je napadač već unutra, tako da jedan ukraden nalog ili zaražen laptop ne može da dohvati sve.
Kako to izgleda u svakodnevici
| Stari način | Zero Trust način |
|---|---|
| Samo lozinka | Lozinka plus višefaktorska autentifikacija |
| Kad ste na VPN-u, vidite celu mrežu | Pristup samo konkretnim aplikacijama koje vam trebaju |
| Svako može da otvori deljeni disk | Dozvole po ulozi, redovno pregledane |
| Bilo koji uređaj može da se poveže | Samo poznati, ažurni i zaštićeni uređaji |
| Jedna ravna mreža | Segmenti koji ograničavaju koliko daleko napadač može da dođe |
| Verujemo kancelariji, ne verujemo kolegi koji radi od kuće | Ista provera za sve, svuda |
Realan plan za malu ili srednju firmu
Ne morate da kupite „Zero Trust platformu“. Većinu koristi možete postići u fazama, alatima koje možda već posedujete.
Faza 1: prvo identiteti
- Uključite višefaktorsku autentifikaciju za e-poštu, VPN, cloud usluge i svaki administratorski nalog.
- Koristite centralni sistem identiteta (na primer Microsoft Entra ID ili Google identitet) da se pristupom upravlja na jednom mestu.
- Uklonite stare naloge i nekorišćene dozvole. Razdvojite svakodnevne naloge od administratorskih.
Faza 2: upoznajte i zaštitite uređaje
- Vodite popis uređaja firme.
- Zahtevajte ažuriranja, šifrovanje diska i zaštitu krajnjih tačaka (EDR) pre nego što uređaj pristupi podacima firme.
- Odredite pravila za lične uređaje: šta mogu, a šta ne mogu da dohvate.
Faza 3: ograničite pristup na ono što je potrebno
- Zamenite „VPN sa punim pristupom mreži za sve“ pristupom konkretnim aplikacijama gde je moguće.
- Primenite dozvole po ulozi na fajlove, sisteme i cloud alate.
- Koristite vremenski ograničen privilegovan pristup za administratore.
Faza 4: segmentirajte mrežu
- Odvojeni VLAN-ovi za korisnike, servere, goste i uređaje kao što su štampači i kamere.
- Firewall pravila između segmenata koja dozvoljavaju samo potreban saobraćaj.
Faza 5: posmatrajte i reagujte
- Prikupljajte logove identiteta, krajnjih tačaka i firewall-ova na jednom mestu.
- Upozoravajte na neobične prijave, nove administratore i veliki prenos podataka.
- Imajte testiran plan odgovora na incidente i backup do kog napadač ne može.
Počnite malo. Višefaktorska autentifikacija na svim nalozima je najvredniji prvi korak, malo košta i blokira veliki deo uobičajenih napada.
Česte greške
- Kupiti proizvod i smatrati posao gotovim. Zero Trust je način rada, a ne kutija.
- Učiniti ga mukom za korisnike. Preterano stroga pravila teraju ljude na zaobilaženje. Ciljajte na bezbedno i jednostavno.
- Preskočiti popis. Ne možete zaštititi uređaje i podatke za koje ne znate.
- Raditi sve odjednom. Plan po fazama kroz nekoliko meseci bolje radi od velikog praska.
Kako vam možemo pomoći
Alficom projektuje i uvodi Zero-Trust arhitekturu u okviru usluga strategije sajber otpornosti i usklađenosti, uz analizu površine napada, zaštitu krajnjih tačaka i obuku zaposlenih o bezbednosti. Obično počinjemo identitetima i uređajima, a ostalo gradimo u fazama koje odgovaraju vašem budžetu.
