Zero trust

Čo to znamená

Zero trust, teda nulová dôvera, je bezpečnostný prístup, podľa ktorého sa automaticky neverí žiadnemu používateľovi, zariadeniu ani sieti, ani keď sú vo vnútri firmy. Každý prístup k dátam či aplikácii sa overuje zakaždým znova podľa identity, stavu zariadenia a kontextu.

Tradičný model chránil firmu ako hrad s hradbou: kto bol vnútri siete, napríklad cez VPN, mal prístup takmer všade. Pri práci z domu, cloudových službách a útokoch cez ukradnuté heslá tento model zlyháva, lebo útočník, ktorý sa dostane dnu, sa voľne pohybuje.

Zero trust stojí na niekoľkých princípoch: silné overenie identity s dvojfaktorovou autentifikáciou, minimálne oprávnenia podľa potreby, rozdelenie siete a systémov na menšie časti a priebežné sledovanie podozrivej aktivity.

Ako to funguje v praxi

Aj malej firme odporúčame začať jednoduchými krokmi zero trust: dvojfaktorové prihlasovanie do všetkých kľúčových služieb, správca hesiel, oddelené účty pre bežnú prácu a administráciu a pravidelná revízia, kto má k čomu prístup.

V našej firme pristupujeme k dátam klientov cez aplikácie s individuálnym overením a riadením prístupov podľa klientov a rolí. Každý zamestnanec vidí len to, na čom pracuje, a prístupy sa pri zmene úlohy či odchode okamžite menia.

Pri väčších klientoch, na ktorých sa vzťahuje NIS2, je zero trust súčasťou požadovaných bezpečnostných opatrení. Pomáhame im prepojiť technické kroky s dokumentáciou a riadením rizík, ktoré zákon vyžaduje.

Na čo si dať pozor

Zero trust nie je produkt, ktorý sa dá kúpiť, ale spôsob, ako navrhnúť prístupy. Dodávateľ, ktorý sľubuje zero trust jedným nástrojom, zjednodušuje. Bez zmeny pravidiel a návykov samotná technológia nestačí.

Príliš prísne nastavenie bez ohľadu na prácu ľudí vedie k tomu, že si zamestnanci hľadajú obchádzky, napríklad posielajú súbory cez súkromné e-maily. Bezpečnosť a použiteľnosť treba nastaviť spolu, inak sa riziko útoku nezníži.