Zero Trust: Žádná důvěra

Model Zero Trust Network(síť nepředpokládající důvěru)a Zero Trust Architecture(architektura nepředpokládající důvěru) vytvořil v roce 2010 John Kindervag, tehdejší hlavní analytik Forrester Research.

Nyní, o osm let později, ředitelé IT, ředitelé zabezpečení informací a další podnikoví manažeři koncept Zero Trust stále častěji nasazují i díky tomu, že se technologie, které ho podporují, stávají běžně dostupnými na základě výrazně rostoucího tlaku na ochranu podnikových systémů a dat.

„Pokud mám dnes denně 20 hovorů, 17 z nich se týká konceptu Zero Trust. Ředitelé zabezpečení informací, ředitelé IT a výkonní ředitelé mají všichni zájem. Zájem mají společnosti různých velikostí,“ popisuje Chase Cunningham, hlavní analytik společnosti Forrester.

„Myslím si, že za tři roky bude koncept Zero Trust považován za špičkovou podobu kybernetického zabezpečení. Tečka.“

Co je Zero Trust?

Zero Trust představuje bezpečnostní koncept zaměřený na princip, že organizace nemají automaticky důvěřovat ničemu uvnitř ani vně jejich hranic a namísto toho musejí před udělením přístupu ověřit vše, co se snaží získat připojení k jejich systémům.

„Strategie kolem konceptu Zero Trust v podstatě znamená nikomu nevěřit.Mluvíme o principu ‚Znemožnit veškerý přístup, dokud síť nezjistí, kdo jste. Nedovolit přístup k adresám IP, počítačům atd., dokud nevíte, kdo je daný uživatel a zda má odpovídající oprávnění,‘“ vysvětluje Charlie Gero, technologický ředitel společnosti Akamai Technologies.

A proč Zero Trust? Zvažte následující statistiky:

Výroční zpráva společnosti Cybersecurity Ventures z roku 2017 předpovídá, že do roku 2021 bude počítačová kriminalita způsobovat ztráty šesti bilionů dolarů ročně, což je nárůst ze tří bilionů dolarů v roce 2015.

Mezitím studie z roku 2017 o únicích dat (2017 Data Breach Study) organizace Ponemon Institute zjistila, že celosvětové průměrné náklady na úniky dat jsou 3,62 milionu dolarů. Přestože tato hodnota vůči předchozímu roku poklesla, studie zjistila, že průměrná velikost úniku dat se zvýšila o 1,8 procenta na více než 24 tisíc záznamů.

Tyto hodnoty se objevují navzdory tomu, že organizace zvyšují své úsilí v oblasti počítačové bezpečnosti. Gartner odhadl celosvětové výdaje na produkty a služby zabezpečení informací v roce 2017 na 86,4 miliardy dolarů, což je o sedm procent více než v roce 2016. Navíc předpovídá, že výdaje letos dosáhnou výše 93 miliard dolarů.

Podnikoví lídři chápou, že současné přístupy k zabezpečení už jim nestačí – hledají něco lepšího a zjišťují, že právě model Zero Trust dokáže zajistit nejlepší výsledky, prohlašuje Cunningham.

Gero souhlasí a dodává, že chcete-li zastavit úniky dat, je koncept Zero Trust v současnosti nejlepším způsobem.

Zabezpečení pro nový svět

Model Zero Trust pro zabezpečení informací v podstatě eliminuje starou mentalitu hradu s vodním příkopem, kterou organizace využívaly při obraně svých hranic a předpokládaly, že vše uvnitř nepředstavuje hrozbu, a může tedy získat přístup.

Bezpečnostní a technologičtí experti tvrdí, že přístup stylem hradu s vodním příkopem nefunguje. Poukazují na skutečnost, že některé nejzávažnější úniky dat nastaly proto, že se hackeři po získání přístupu dovnitř za firemní firewally mohli pohybovat v rámci vnitřních systémů bez většího odporu.

„Jedním z nejčastějších problémů, které v IT máme, je, že příliš mnoho věcí funguje příliš otevřeně s příliš mnoha výchozími spojeními.V podstatě nezdravě mnoho důvěřujeme,“ tvrdí Cunningham.

To je podle něj důvod, proč došlo k rozmachu internetu – všichni mohli po celou dobu sdílet vše. Je to však i klíčový bod selhání: Pokud důvěřujete všemu, nemáte šanci změnit nic souvisejícího se zabezpečením.

Špatní lidé a nebezpečné hrozby nejsou jedinými faktory, které tento nový model řeší. Odborníci uvádějí, že současná podniková oddělení IT vyžadují nový způsob myšlení z větší části proto, že hrad sám již neexistuje izolovaně, jak tomu bylo kdysi.

Podniky nemají korporátní datová centra sloužící tamější síti systémů, ale namísto toho v současné době obvykle nějaké aplikace ve vlastní infrastruktuře a jiné v cloudu s uživateli – zaměstnanci, partnery, zákazníky – přistupujícími k aplikacím z řady zařízení z více míst, a dokonce potenciálně z celého světa.

Všechny tyto makrozměny vedly k tomuto novému modelu. Směřuje to k otázce: „Jak v tomto novém modelu zajistíme zabezpečení?“ uvádí Bill Mann, viceprezident společnosti Centrify, dodavatele řešení IAM (správa identit a přístupu) a PIM (správa privilegovaných identit).

V tomto novém světě je tedy podle něj nový firewall blízko k aktivům, která se snažíte chránit.

Technologie pro Zero Trust

Koncept Zero Trust spoléhá při dosahování své mise ohledně zabezpečení podnikového prostředí IT na různé technologie a řídicí procesy.

Vyžaduje, aby podniky využívaly mikrosegmentaci a vynucení hrubé hranice na základě uživatelů, jejich polohy a dalších údajů, aby bylo možné určit, zda lze důvěřovat uživateli, počítači nebo aplikaci požadujícím přístup k určité části podniku.

„Je nejvyšší prioritou pochopit, kdo uživatel je. Opravdu je nutné ověřit, že je to (například) Honza a že rozumíme tomu, z jakého koncového bodu se Honza připojuje – je to známý zabezpečený koncový bod, a jaký je status zabezpečení tohoto koncového bodu? A nyní lze použít podmínečné zásady, které určují rozsah oprávněnosti přístupu k něčemu,“ vysvětluje Mann.

Zero Trust k tomu využívá technologie, jako jsou vícefaktorovou autentizaci, IAM, orchestraci, analytiku, šifrování, skórování a oprávnění souborového systému. Zero Trust také vyžaduje řídicí zásady, jako je poskytovat uživatelům nejmenší možný přístup, který potřebují k plnění určitého úkolu.

Cunningham považuje Zero Trust za způsob, jak organizace získají zpět kontrolu nad bojištěm.

„Vezměme segmentaci sítě a firewally nové generace, dejme je do segmentů a nechme je řídit, koho, co, kde a kdy bude povolené propojit,“ popisuje.„Návrh se tedy dělá zevnitř sítě směrem ven na rozdíl od obvyklého opačného přístupu zvenku dovnitř.“

Stejně jako to v současné době platí o IT obecně, také Zero Trust „není jen technologie, ale týká se též procesů a myšlení“, dodává Mann.

Začínáme se Zero Trust

Řada podnikových oddělení IT už mnoho částí konceptu Zero Trust používá, upozorňují odborníci. Často se využívají vícefaktorová autentizace, IAM a zohlednění oprávnění. Stále více se v částech podnikového prostředí nasazuje i mikrosegmentace.

I přes takový rozvoj však prostředí Zero Trust nestojí jenna implementaci těchto jednotlivých technologií. Namísto toho, jak uvádějí Cunningham, Gero i Mann, jde o použití těchto a dalších technologií k vynucení myšlenky, že nikdo a nic nezíská přístup, dokud nedojde k ověření, že takovou důvěru udělit lze.

„Strategicky se rozhodnete, že vám to pomůže, a začnete kupovat technologii, která vám umožní dosáhnout tohoto cíle,“ prohlašuje Cunningham a dodává, že „skutečně minovým polem je pokus začít technologií, snažit se ji naroubovat na strategii a doufat, že jste to udělali správně.Je lepší přijmout strategii a pak postupně nasazovat technologie.“

Není překvapivé, že organizace zjistí, že realizace konceptu Zero Trust není záležitostí zvládnutelnou přes noc. Nebude to ani snadné, zejména pokud vlastní starší systémy, které se pro tento nový model nehodí, vysvětluje Cunningham.

„Mnoho společností směřuje ke cloudu, a tudíž do prostředí, kde mohou začít na zelené louce. To jsou perfektní předpoklady pro vybudování konceptu Zero Trust.Zde začínáte svou cestu ke konceptu Zero Trust,“ tvrdí Cunningham.

Organizace, obzvláště ty větší a se složitým prostředím IT či zastaralými systémy, by podle něj měly očekávat, že zavádění konceptu Zero Trust bude vícefázový projekt rozložený do několika let.

Další výzvou při přechodu na Zero Trust je přimět personál, aby myslel tímto novým způsobem, upozorňuje Mann.

„Většina odborníků oddělení IT se bohužel učila, že má svému prostředí implicitně důvěřovat.Každý se učil, že firewall udržuje útočníky venku.Lidé potřebují přizpůsobit své myšlení a pochopit, že útočníci jsou už v jejich prostředí,“ vysvětluje Mann.

Organizace také musejí pochopit, že Zero Trust vyžaduje trvalé úsilí (stejně jako jakýkoli jiný úspěšný projekt IT či zabezpečení) a že některé části implementace konceptu Zero Trust mohou být podle odborníků náročnější než jiné.

Gero například poukazuje na nepřetržitou práci spojenou s mikrosegmentací, kde týmy musejí zajistit, aby se změny nakonfigurovaly správně a aby došlo k aktualizaci měnících se IP adres, aby nedošlo k přerušení přístupu pro práci zaměstnanců a firemní transakce. Jinak by mohly organizace čelit výpadkům provozu a přerušením práce.

„Mnoho společností si myslí: ‚Pokud se nakazíme malwarem a zastaví to náš provoz, nebo když nás zastaví špatná konfigurace na celý den, obě tyto varianty jsou zlé,‘“ uvádí Gero a dodává, že nepřetržitá práce vyžadovaná u přístupu založeného na mikrosegmentaci by mohla vést ke „spěšným změnám způsobujícím chatrnost sítí“.

V důsledku složitosti aplikace konceptu Zero Trust pro starší a existující prostředí dosud organizace nedokázaly plně tento model implementovat, uvádí Kieran Norton, ředitel služeb ve společnosti Deloitte Risk and Financial Advisory.

Norton organizacím radí budovat koncept Zero Trust „podle návrhu, a nikoli pomocí zdokonalování“.Jinými slovy by měly zavádět model Zero Trust jako součást své celkové strategie digitální transformace a zavádět technologie, které jim pomohou dosáhnout konceptu Zero Trust, jako když se přesouvají do cloudu a vyřazují staré systémy.

Norton navíc tvrdí, že přechod na Zero Trust by měl zahrnovat spolupráci ředitele zabezpečení informací, ředitele IT a dalších vysokých manažerů, aby stanovili priority migrace – co a kdy se přesune a co počká.

„Je o tom potřeba přemýšlet jako o transformaci infrastruktury,“ vysvětluje Norton. Zabezpečení informací podle něj neudrželo krok s touto digitální transformací modernizovaného prostředí. Musí se transformovat způsob správy zabezpečení.

„Je nutné přemýšlet o všudypřítomném zabezpečení a uvažovat předvídavě, takže je skutečně nutné myslet jinak,“ uzavírá Norton.

Tento příspěvek vyšel v Computerworldu 3/2018. Časopis (starší čísla i předplatné těch nadcházejících) si můžete objednat na adrese našeho vydavatelství.