Zero Trust (Model „zerowego zaufania”)

Zero Trust to koncepcja związania z bezpieczeństwem. W myśl tej zasady każdy użytkownik i każde urządzenie sieciowe nie jest zaufane, dopóki nie zostanie zweryfikowane i uwierzytelnione.

Termin „zero trust” został ukuty w 2010 roku przez Johna Kindervaga, który był wówczas analitykiem w Forrester Research. Kindervag opracował tę koncepcję w kontrze do tradycyjnego podejścia do bezpieczeństwa opartego na określonej przestrzeni, zgodnie z którym wszystko wewnątrz niej uznaje się za godne zaufania. Zgodnie z koncepcją zerowego zaufania każda próba uzyskania dostępu jest potencjalnym zagrożeniem, co oznacza, że niezbędna jest weryfikacja i autoryzacja niezależnie od źródła lub umiejscowienia w sieci.

Ustalanie i realizacja polityk bezpieczeństwa

Podejście „zerowego zaufania” wymaga od administratorów IT określenia i stosowania głównych polityk bezpieczeństwa oraz mechanizmów zarządzania tożsamością i dostępem. Polega to między innymi na stosowaniu uwierzytelniania wieloskładnikowego (MFA), definiowaniu ról i uprawnień, ciągłym aktualizowaniu zasad bezpieczeństwa oraz przeprowadzaniu regularnych przeglądów i audytów.

Jedną z często stosowanych metod jest segmentacja. Polega na podziale sieci na odrębne obszary logiczne, np. określone grupy urządzeń lub użytkowników. W przypadku mikrosegmentacji podział jest jeszcze bardziej szczegółowy – poszczególne przepływy pracy, aplikacje lub rodzaje ruchu sieciowego dzielone są na osobne, odizolowane od siebie podobszary. Segmentacja ułatwia zarządzanie ruchem, umożliwia realizację polityk bezpieczeństwa i ogranicza przestrzeń narażoną na atak.

Administratorzy IT często posługują się narzędziami do zarządzania tożsamościami i dostępem – zarządzają w ten sposób tożsamościami, przypisują użytkownikom role i uprawnienia oraz kontrolują dostępu do zasobów.