Starý model zabezpečení podnikových sítí již není dostatečně robustní, aby dokázal čelit sofistikovanějším kybernetickým útokům a chránit stále složitější cloudová prostředí, kde je únik přihlašovacích údajů otevřenou branou pro zločince. Řešením je model nulové důvěry, ve smyslu „nikdy nedůvěřuj, vždy ověřuj“. Přestože má obrovské výhody, neobejde se bez problémů.
Princip nulové důvěry je sice jeden termín, ale skládá se z více technologií. Pokud by nová společnost stavěla své prostředí IT na zelené louce, bylo by možné nastavit princip nulové důvěry relativně jednoduše výběrem sady vzájemně spolupracujících technologií.
Většina organizací ale již používá více technologií, které nejsou navrženy tak, aby spolu navzájem komunikovaly. Model nulové důvěry vyžaduje mnoho proaktivního plánování, koordinace a integrace napříč různými systémy, zařízeními a sítěmi, aby bylo možné tento problém překonat. Zahrnuje změnu stávající síťové architektury a bezpečnostní infrastruktury, což může být nákladné a časově náročné. A potřebuje také kompatibilitu a interoperabilitu se staršími systémy a aplikacemi, které protokoly a standardy řešení nulové důvěry podporovat nemusí.
Tyto společnosti musí nejprve získat přehled o již používaných nástrojích, zjistit, kde jsou mezery nebo duplicity funkcí, navrhnout strukturu, která splňuje požadavky modelu nulové důvěry, a spojit všechny technologie dohromady. To si vyžádá další zdroje i vytvoření nových politik.
Pro vytvoření úspěšné architektury nulové důvěry je zásadní mít jasný přehled o všech zařízeních a uživatelích připojených k síti, stejně jako o datových tocích. Tento kompletní přehled umožňuje lepší detekci anomálií a rychlejší reakci na potenciální hrozby.
Získání takového přehledu ale může být pro mnoho podniků, které mají roztříštěná a zastaralá řešení, která spolu vzájemně nespolupracují, velmi náročné. Nástroje jako Azure Sentinel nebo Defender for Cloud poskytují společný ovládací panel pro úplný přehled o stavu organizace a zároveň odstraňují zastaralé a roztříštěné nástroje.
Zavedení modelu nulové důvěry neznamená jen změnu technologie. Je také třeba zcela změnit myšlení a chování uživatelů. Zaměstnanci si musí zvyknout na přísnější kontrolu přístupu, což může vyvolat skepsi, proč došlo ke změně. To je patrné zejména u vedoucích pracovníků, kteří se ptají, proč byl omezen jejich dřívější kompletní přístup.
Organizace musí do plánu zahrnout vzdělávání a školení zaměstnanců, zdůrazňovat osvědčené postupy a výhody, které to firmě přináší, stejně jako způsob, jakým to může zlepšit způsob práce všech zaměstnanců. Pokud zaměstnanci – a vedoucí pracovníci – pochopí, proč se koncept nulové důvěry zavádí, je snazší prosadit dodržování předpisů i odpovědnost.
Model nulové důvěry vyžaduje průběžné řízení a úpravu bezpečnostních zásad. Pokud například dva týmy potřebují po omezenou dobu spolupracovat, je třeba vytvořit zásadu, která umožní lidem z příslušných týmů přístup ke sdíleným zdrojům nebo souborům. Po skončení projektu je ale nutné zásady opět aktualizovat. To vyžaduje nepřetržitý monitoring, který je ale možné automatizovat a snížit tak zátěž týmů IT.
Existuje pět hlavních typů technologií, nezbytných pro prostředí nulové důvěry, nazývané také pilíře konceptu nulové důvěry:
Tyto nástroje spravují přístupová oprávnění a role a tvoří základ prostředí nulové důvěry. Zde jsou definováni jednotliví uživatelé včetně jejich oprávnění a informace odkud je spravován jejich přístup. Důležitou součástí IAM je vícefaktorová autentizace (MFA), která vyžaduje, aby byl uživatel, který se snaží získat přístup k systému, ověřen několika způsoby. Pak bude zajištěno, že je skutečně tím, za koho se vydává.
Zatímco IAM a MFA řídí uživatele, ochranu potřebují i zařízení. Řešení pro koncové body zabezpečují a chrání zařízení před různými hrozbami. Tato řešení upozorní na to, že na zařízení dochází k anomáliím nebo se zobrazují neobvyklé přihlašovací údaje.
Tyto nástroje, jako je například firewall Azure nebo Cloud Defender pro cloudové aplikace, kontrolují přístup ke škodlivým webům a zajišťují bezpečné používání internetu. Budou monitorovat, co můžete dělat uvnitř nebo vně organizace, a pomohou správci sledovat, k čemu se snažíte získat přístup. Tím se označí všechny potenciální hrozby dříve, než mohou způsobit škody v podnikové síti.
Důležitými součástmi jsou také aplikace a úlohy a princip nulové důvěry se zaměřuje na zajištění bezpečného přístupu a ochrany aplikací a dat, což je v souladu se zastřešující zásadou „nikdy nedůvěřuj, vždy ověřuj“ – a to i na úrovni aplikací.
Princip nulové důvěry na úrovni dat je jednou z nejdůležitějších fází vyspělosti kyberbezpečnosti. Klade důraz na bezpečný přístup, ochranu a detailní kontrolu nad daty i službami a přechází od přístupu zaměřeného na umístění (tradiční kyberbezpečnost zmíněná v první části) k přístupu zaměřenému na data. Dosažení této úrovně vyspělosti ale naráží na výzvy, jako je klasifikace dat, šifrování, řízení životního cyklu dat, chování uživatelů i důležitý posun v podnikové kultuře, jak jsme již zmínili.
Většina organizací již základní stavební prvky pro zavedení politiky nulové důvěry má. Princip nulové důvěry není další nová technologie, ale koncept, který vyžaduje změnu myšlení a přístupu k bezpečnosti. Organizace, které se řídí dobře strukturovaným plánem a věnují plánování čas, dosahují přínosů mnohem rychleji než ty, které se do zavedení modelu nulové důvěry vrhají po hlavě. Navrhujeme jednoduchý přístup k zavedení nulové důvěry ve třech krocích.
Vyhodnoťte stávající stav zabezpečení a identifikujte citlivá data, aktiva a služby. Pravděpodobně již mnoho technologií, potřebných pro zavedení modelu nulové důvěry, máte. Nejde o to, že byste museli začínat od nuly, ale je potřeba získat přehled o vaší současné situaci a posoudit, kde jsou mezery.
Plánování strategie je náročné. Plán pro zavedení modelu nulové důvěry by měl začínat u dlouhodobých cílů podniku a zabezpečení by mělo být budováno tak, aby těmto cílům odpovídalo – a nikoli naopak. Bezpečnostní politiky by neměly určovat, jak má organizace fungovat! Je třeba myslet dlouhodobě, aby měly nyní definované zásady dlouhou životnost. Před vypracováním plánu implementace modelu nulové důvěry, včetně aktualizace technologií a změn zásad, je třeba zvážit posouzení rizik, obchodní požadavky a analýzu stávajících nástrojů i jejich využití.
V závislosti na velikosti a rozsahu organizace a na vyspělosti stávajícího nastavení zabezpečení může tato práce trvat několik týdnů až měsíců.
Pokud máte jasně definovanou strategii a zásady, je realizace modelu nulové důvěry poměrně snadná. Problémy mohou nastat v případě nedostatečně připraveného plánu. Uživatelé pak nebudou mít přístup k potřebným zdrojům, což povede k frustraci a ztrátě produktivity. Poučení? Nepodceňujte plánování před realizací.
Dosažením efektivního přístupu nulové důvěry cesta nekončí. Je třeba udržet efektivitu a zvýšit ji na optimální úroveň vyspělosti, což zahrnuje překonání několika výzev, jako jsou starší systémy a složitost dat i nové systémy, přehled či integrace. Důležité je mít připravené procesy a nástroje pro vývoj, ale klíčové je mít partnera, který zvládne všechny tyto výzvy a provede vás životním cyklem zabezpečení.
Jako manažer si možná po přečtení tohoto článku položíte otázku, proč byste měli přecházet na model nulové důvěry, pokud vaše současné řešení zabezpečení funguje. Než abyste to považovali za něco, co bude vaši organizaci stát čas a peníze, věříme, že jde o investici, která vám pomůže vybudovat vysoce výkonné pracoviště a do budoucna ochrání vaši organizaci proti vyvíjejícím se hrozbám v rychle se měnícím cloudovém prostředí.
Vysoce výkonné pracoviště je takové, kde mohou zaměstnanci efektivně a bezpečně spolupracovat odkudkoli a na jakémkoli zařízení, a to s podporou nejnovějších technologií. Model zabezpečení s nulovou důvěrou právě toto umožňuje. Ať už vaši zaměstnanci pracují z domova, v kanceláři nebo hybridně, model zabezpečení s nulovou důvěrou znamená, že mohou svou práci odvádět co nejlépe odkudkoli, zatímco systémy a data organizace zůstávají v bezpečí. Podporuje kulturu důvěry a odpovědnosti mezi uživateli a dává jim větší kontrolu i přehled nad jejich vlastními daty a přístupovými oprávněními, což jim dává důvěru ke spolupráci a inovacím s kolegy i partnery – interně i externě. Zároveň vytváří základ pro zrychlenou digitální transformaci.
Zabezpečení s nulovou důvěrou umožňuje organizacím využívat nové technologie a platformy, jako je cloud, mobilní technologie, internet věcí nebo umělá inteligence, aniž by to ohrozilo jejich zabezpečení. Uplatňováním konzistentních a adaptivních bezpečnostních politik ve všech prostředích a na všech koncových bodech chrání model zabezpečení s nulovou důvěrou data i aplikace před hrozbami a narušením a zároveň podporuje inovace i agilitu.
Zvyšte bezpečnost vašeho IT a vyhněte se kybernetickým hrozbám
Zvyšte bezpečnost vašeho IT a vyhněte se kybernetickým hrozbám
