У попередній статті про Zero Trust ми розглянули, що таке Zero Trust, на яких основних принципах вона ґрунтується та які переваги надає. Зараз ми розглянемо, як впровадити модель нульової довіри для досягнення високопродуктивного робочого місця, включаючи поширені питання, пов'язані з впровадженням, і технології, що використовуються, а також етапи реалізації.
Як ми пояснювали в попередній статті, периметр корпоративної мережі змінився. Стара модель захисту корпоративних мереж уже недостатньо надійна, щоб протистояти складнішим кібератакам і захищати дедалі складніші хмарні середовища, де витік облікових даних є відкритими дверима для злочинців. Cервіси Cloud Security на базі Zero Trust із принципом «ніколи не довіряй, завжди перевіряй» є рішенням. Проте маючи величезні переваги, ця модель не позбавлена проблем.
Хоча термін Zero Trust є єдиним, він складається з багатьох технологій. Якби нова компанія створювала нове ІТ-середовище, нульової довіри можна було б досягти відносно просто, вибравши стек технологій, який призначений для спільної роботи.
Однак більшість організацій вже мають безліч технологій, які не призначені для взаємодії один з одним. Zero Trust вимагає проактивного планування, координації та інтеграції між різними системами, пристроями та мережами, щоб подолати цю проблем. Це передбачає зміну наявної архітектури мережі та інфраструктури безпеки, що може бути дорогим рішенням і потребувати багато часу. Також це потребує сумісності та взаємодії із застарілими системами та програмами, які можуть не підтримувати протоколи чи стандарти Zero Trust.
Цим компаніям спочатку потрібно буде зробити огляд інструментів, які вже використовуються, визначити, де є прогалини або дублювання функцій, розробити структуру, яка відповідає вимогам Zero Trust, та поєднати всі технології разом. Для цього знадобляться додаткові ресурси і створення нових політик.
Чітке розуміння всіх пристроїв і користувачів, підключених до мережі, а також потоків даних є вирішальним для успішної архітектури Zero Trust. Така повна видимість дозволяє краще виявляти аномалії та швидше реагувати на потенційні загрози.
Однак багатьом підприємствам, які мають фрагментовані та застарілі рішення, які не взаємодіють між собою, може бути складно досягти такої видимості. Такі інструменти, як Microsoft Sentinel або Defender for Cloud, забезпечують єдину панель для повної видимості позиції організації, при цьому позбавляючись від застарілих, фрагментованих інструментів.
Zero Trust виходить за рамки простої зміни технологій – потрібна повна зміна мислення та поведінки користувачів. Співробітники повинні звикнути до більш жорсткого контролю доступу, який може викликати скептицизм щодо того, чому все змінилося. Це особливо помітно серед керівників вищої ланки, які сумніваються, чому їхній попередній необмежений доступ було обмежено.
Організаціям потрібно включити навчання та тренінги для співробітників у план, наголошуючи на кращих практиках, перевагах для компанії та тому, як це може покращити роботу всіх. Коли співробітники — та керівники вищої ланки — розуміють, чому це впроваджується, легше забезпечити дотримання правил та відповідальність.
Нульова довіра вимагає постійного керування та коригування політик безпеки. Наприклад, якщо двом командам потрібно працювати разом протягом обмеженого періоду часу, необхідно створити політику, яка дозволить людям із відповідних команд отримувати доступ до спільних ресурсів або файлів. Однак після завершення проєкту політику потрібно оновити знову. Це вимагає постійного моніторингу, але, щоб зменшити навантаження на ІТ-команди, його можна автоматизувати.
Існує п’ять основних типів технологій, які є важливими для середовища нульової довіри Zero Trust, їх також називають опорами нульової довіри.
Ці інструменти керують правами доступу й ролями та формують основу середовища Zero Trust. Тут визначається кожен користувач, включно з тим, на що він має права та звідки керується його доступ. Важливою частиною IAM є багатофакторна автентифікація (MFA), яка вимагає, щоб користувач, який намагається отримати доступ до системи, перевірявся кількома способами, щоб переконатися, що він є тим, за кого себе видає.
Хоча IAM і MFA регулюють дії користувачів, пристрої також потребують кіберзахисту. Рішення для кінцевих пристроїв забезпечують безпеку та захист пристроїв від різних загроз. Ці рішення сигналізують, коли пристрій працює з відхиленнями або відображає незвичайні входи.
Ці інструменти, як-от фаєрволи Azure або Cloud Defender для хмарних застосунків, контролюють доступ до шкідливих веб-сайтів і забезпечують безпечне користування Інтернетом. Вони відстежуватимуть, що ви можете робити всередині та за межами вашої організації, і допомагатимуть адміністратору стежити за тим, до чого намагаються отримати доступ. Це позначатиме будь-які потенційні загрози, перш ніж вони зможуть завдати шкоди корпоративній мережі.
Додатки та робочі навантаження також є важливими компонентами, тому Zero-Trust зосереджується на забезпеченні безпечного доступу та захисту програм і даних, узгоджуючи головний принцип «ніколи не довіряй, завжди перевіряй» навіть на рівні додатків.
Запровадження Zero Trust на рівні даних є одним із найважливіших етапів зрілості кібербезпеки. Він наголошує на безпечному доступі, захисті та детальному контролі над даними та сервісами, а також переході від підходу, орієнтованого на місцеперебування (традиційна кібербезпека, згадана в попередній статті), до підходу, орієнтованого на дані. Однак досягнення цього рівня зрілості стикається з такими проблемами, як класифікація даних, шифрування, керування життєвим циклом даних, поведінка користувачів і важливі культурні зрушення, які згадувалися раніше.
Більшість організацій уже мають основні компоненти для впровадження політики нульової довіри. Як ми вже говорили раніше, Zero Trust — це не ще одна нова технологія, це концепція, яка змінює мислення та підхід до безпеки. Організації, які дотримуються добре структурованого плану та витрачають час на етапи планування, досягають переваг набагато швидше, ніж ті, хто кидається в нього стрімголов. Ми пропонуємо простий чотирьох етапний підхід до впровадження Zero Trust.
Оцініть свою поточну систему безпеки та визначте чутливі дані, активи та сервіси. Ймовірно, ви вже маєте багато технологій, необхідних для моделі Zero Trust. Йдеться не про необхідність починати з нуля, а про те, щоб отримати загальний огляд поточної ситуації та оцінити, де є прогалини.
Стратегічне планування – це те, де починається найважча робота. План Zero Trust має починатися з довгострокових бізнес-цілей із забезпеченням безпеки, яка відповідає їм, а не навпаки. Політика безпеки не повинна визначати, як працює організація! Вам потрібно думати в довгостроковій перспективі, щоб політика, визначена зараз, була довготривалою. Перед розробкою стратегічного плану для впровадження Zero Trust, включаючи оновлення технологій і зміни політики, необхідно розглянути оцінку ризиків, бізнес-вимоги, аналіз поточних інструментів та їх використання.
Залежно від розміру та сфери діяльності організації, а також від рівня зрілості наявних налаштувань безпеки, ця частина роботи може зайняти від кількох тижнів до кількох місяців.
Якщо у вас є чітко визначена стратегія та політика, реалізація моделі нульової довіри відносно проста. Однак, якщо цю роботу з планування не було виконано, виникнуть проблеми, оскільки це може призвести до того, що користувачі не зможуть отримати доступ до необхідних ресурсів, що призведе до розчарування та втрати продуктивності. Урок? Зробіть планування перед реалізацією.
Досягнення ефективного підходу Zero Trust — це ще не кінець шляху. Необхідно зберегти ефективність і підвищити її до оптимального рівня зрілості, що передбачає подолання кількох проблем, як-от застаріла система, складність даних і нові системи, видимість та інтеграція. Важливо мати процес та інструменти, підготовлені до розвитку, і наявність партнера, який зможе впоратися з усіма цими проблемами та керувати вашим життєвим циклом безпеки, стає вирішальним.
Як керівник у своїй організації ви можете прочитати це й задати питання – Навіщо змінювати поточну систему безпеки на модель Zero Trust, якщо у вас і так все працює? Замість того, щоб розглядати це як щось, що коштуватиме часу та грошей вашій організації, ми вважаємо, що це інвестиція, яка допоможе вам створити високоефективне цифрове робоче місце та захистить вашу організацію від загроз, що розвиваються, і хмарних ландшафтів, що швидко змінюються.
Високоефективне робоче середовище – це місце, де співробітники можуть працювати спільно, ефективно та безпечно з будь-якого місця, на будь-якому пристрої, підкріплюючись найновішими технологіями. Це забезпечує модель безпеки Zero Trust. Незалежно від того, чи працюють ваші співробітники вдома, в офісі чи гібридно, модель безпеки Zero Trust означає, що вони можуть працювати якнайкраще з будь-якого місця, а організаційні системи та дані залишаються в безпеці. Це сприяє розвитку культури довіри та підзвітності серед користувачів, надаючи їм більше контролю та видимості над власними даними та правами доступу, надаючи їм впевненості у співпраці та впроваджуючи інновації з колегами та партнерами, як всередині, так і зовні.
Це також закладає основу для прискореної цифрової трансформації. Безпека інформаційних систем на основі Zero Trust дозволяє організаціям використовувати нові технології та платформи, такі як хмара, мобільні пристрої, IoT або AI, без шкоди для своєї безпеки. Застосовуючи послідовну й адаптивну політику безпеки в усіх середовищах і кінцевих точках, безпека Zero Trust захищає дані та програми від загроз і зломів, забезпечуючи при цьому інновації та гнучкість.
Подивіться один день із життя звичайного працівника в середовищі безпеки Zero Trust.
Якщо ви хочете розібратися який поточний рівень безпеки у вас зараз та зрозуміти, як ви можете перейти до моделі Zero Trust, замовте безкоштовну 1год ознайомчу сесію у SoftwareOne.
Якщо ви хочете розібратися який поточний рівень безпеки у вас зараз та зрозуміти, як ви можете перейти до моделі Zero Trust, замовте безкоштовну 1год ознайомчу сесію у SoftwareOne.
