Zero Trust Security više nije poštapalica

Okta, tvrtka za upravljanje identitetima, objavila je svoje izvješće pod nazivom "The State of Zero Trust Security 2022". Na temelju 700 ispitanika, većinom rukovoditelja C razine iz globalnih kompanija, izvješće jasno pokazuje da je Zero Trust sada univerzalno prihvaćen kao put naprijed prema sigurnim organizacijama: gotovo sve anketirane organizacije (97%) ili su već pokrenule Zero Trust inicijativu ili imaju konkretne planove za pokretanje u nadolazećim mjesecima. Godine 2019. samo je 16% ispitanih IT rukovoditelja dalo iste povratne informacije.

U svijetu oblaka ne postoji perimetar niti posebna mreža za obranu. To je postalo očitije jer su se zaposlenici tijekom pandemije masovno selili izvan On-Premise mrežnog perimetra. Odjednom se većina sigurnosnih događaja nije dogodila na korporativnoj mreži, već na uređajima zaposlenika - novom rubu mreže. I tako je koncept Zero Trust iznenada postao arhitektura izbora za rješavanje nove stvarnosti. CIO-ovi i IT administratori diljem svijeta sada prihvaćaju sigurnosni okvir Zero Trust, koji se brzo razvio od popularne riječi do strateškog diferencijanta i poslovnog imperativa. Vlade također igraju na kartu ZTNA: na primjer, 2021. savezna vlada SAD-a izvršnom je naredbom naložila razvoj Zero Trust arhitekture u svim vladinim agencijama.

Zero Trust obično se objašnjava citiranjem slogana "nikad ne vjeruj; uvijek provjeri" ili se definira kao model informacijske sigurnosti koji prema zadanim postavkama odbija pristup aplikacijama i podacima. To su često nešto više od tautologija. No, što ZTNA znači u praksi?

Prvo, sredstva kao što su prijenosna računala ili poslužitelji su ona koja postaju fokus stalnih provjera identiteta, ispravnosti uređaja i politike pristupa. To znači da fokus nije više na mrežnim uređajima kao što su vatrozidi koji pružaju VPN pristup, već na uvijek uključenim softverskim agentima instaliranim na svakoj imovini. Samo na ovoj razini agenta, koji obavlja dubinski pregled korisničkih aktivnosti u stvarnom vremenu, pristup ZTNA-u može se uistinu nametnuti. Zbog toga je ZTNA bliža EDR/XDR ili SASE tehnologijama, što je čini idealnom tehnologijom za konsolidaciju sigurnosnih stackova.

Druga implikacija ZTNA je identitet. Ustvari, upravljanje identitetom temelj je svake Zero Trust strategije, osobito ako uzmete u obzir da je kompromitiranje identiteta taktika broj 1 koja se koristi u modernim napadima.

U svijetu u kojem je perimetar nestao, organizacije moraju istovremeno staviti svoju imovinu na raspolaganje ovlaštenim korisnicima dok ih štite od zlonamjernih aktera. Ti ovlašteni korisnici nisu samo uredski i udaljeni zaposlenici, već i poslovni partneri - od vanjskih ugovornih radnika do kupaca koji pristupaju, recimo, aplikaciji za naručivanje robe. Prečesto su ti identiteti potisnuti u izolirane silose unutar aplikacija i nisu zaštićeni od najnovijih taktika zlouporabe vjerodajnica.

Koje su ključne inicijative u smislu usklađivanja upravljanja identitetom sa ZTNA? Oktino izvješće detaljno opisuje mnoge od njih, uključujući:

• Povežite imenike zaposlenika s aplikacijama u oblaku koje su ključne za poslovanje, radi uvida tko čemu pristupa bez obzira gdje se nalazio.

• Implementirajte višefaktorsku autentifikaciju (MFA) za zaposlenike kako biste osigurali zaštitu ključeva od krađe vjerodajnica.

• Dodajte MFA za vanjske korisnike, kao što su poslovni partneri i izvođači.

• Implementirajte jedinstvenu prijavu (SSO) za zaposlenike, za podržane aplikacije.

• Omogućite resetiranje faktora samoposluživanja i smanjite troškove službe za pomoć.

• Automatizirajte dodjelu i deproviziju za aplikacije. Automatizirajte dodjelu i deaktivaciju za zaposlenike i vanjske korisnike na modelu temeljenom na ulogama.

• Omogućite upravljanje povlaštenim pristupom infrastrukturi oblaka.

• Upotrijebite različite čimbenike provjere autentičnosti u grupama korisnika na temelju rizika i smanjite troškove licenciranja. Implementirajte politike pristupa temeljene na kontekstu.

• Dodajte siguran pristup sučeljima za programiranje aplikacija (API)

• Implementirajte siguran pristup bez lozinke na cijelom području.

• Donesite odluke o pristupu na podatkovnom sloju na temelju položaja korisnika i uređaja.

Izvješće otkriva da su mnoge organizacije dosta tih inicijativa barem pokrenule. Međutim, upravljanje sigurnim pristupom za vanjske korisnike (MFA, automatizirano oduzimanje, itd.) još uvijek je prilično rijetko. Također, isto se može reći za politike pristupa temeljene na kontekstu i za pristup bez lozinke.

Očigledno, još je dug put do upravljanja identitetom usklađenim sa suvremenim scenarijima pristupa, a time i put do pune zrelosti Zero Trusta.