Revista si suplimente
MarketWatch
Inapoi Inainte

„Zero Trust“ sau când suspiciunea devine strategie de securitate

21 Noiembrie 2019



În ultimii ani asistăm la o cursă fără sfârșit: cu cât organizațiile achiziționează soluții de securitate mai performante, cu atât hackerii dezvoltă noi tehnici și tactici de penetrare a sistemelor de apărare. Și nu de puține ori, reușesc să fie cu un pas înaintea „apărătorilor“. Modelul de arhitectură „Zero Trust“ poate schimba însă raportul de forțe.

În 2010, John Kindervag – pe vremea aceea analist principal la Forrester Research – a încercat să reechilibreze această „cursă a înarmărilor“, propunând o nouă abordare strategică a securității informatice, bazată pe principiul „Never trust, always verify!“.
Noul concept dezvoltat de analistul Forrester – botezat sugestiv Zero Trust – a avut nevoie însă de câțiva ani pentru a fi asimilat de către piață, chiar dacă are partizani puternici precum Google, care l-a dezvoltat în cadrul inițiativei BeyondCorp, sau Gartner, care a creat propriul framework (Continuous Adaptive Risk and Trust Assessment - CARTA).
În România, abordarea Zero Trust nu este încă foarte populară, una dintre prezentările acestui model fiind realizată în cadrul evenimentului Connect 2019 de către Dirk Stoeckmann, Technical Solution Architect Cisco.

O arhitectură bazată pe neîncredere
Preceptul care stă la baza ahitecturii de securitate Zero Trust este că organizațiile trebuie să renunțe la sistemele de protecție construite pe modelul castelelor apărate de redute („Castle-and-moat“) și la ideea preconcepută că orice se află în interiorul acestora – utilizatori, servicii și/sau aplicații – este demn de încredere. Și asta deoarece abordarea „Castle-and-moat“ nu mai reușește să facă față noilor provocări generate de transformarea digitală a organizațiilor, în special de adopția pe scară largă a serviciilor Cloud, de modernizarea mediului de lucru și de creșterea numărului de utilizatori mobili.
Modelul Zero Trust conceput Kindervag anulează presupoziția că nu poate plana nicio îndoială asupra oricărui utilizator intern – dacă identitatea acestuia nu este compromisă – și înlocuită cu ideea că fiecare trebuie abordat ca un potențial element de risc. Prin urmare, trebuie verficat prin metode integrate și corelate înainte de i se acorda accesul la resursele din cadrul companiei.



Etape de construcție
Primul pas în construirea unei arhitecturi de tipul Zero Trust constă în identificarea „suprafeței de protecție“ specifice fiecărei organizații și care integrează date, aplicații, active și servicii (DAAS) cu caracter critic pentru derularea business-ului. Pentru că înglobează doar elementele de importanță critică pentru operațiunile unei companii, suprafața care trebuie protejată într-un astfel de model de arhitectură este considerabil mai mic decât cea propriu-zisă de atac și poate fi controlată mai precis.
O data realizată această etapă, al doilea pas constă în depistarea modelelor de trafic din cadrul organizației respective și a modului în care fluxurile de date interacționează cu „suprafața de protecție“. Doar înțelegând care sunt categoriile de utilizatori, ce aplicații folosesc și modalitatiile prin care accesează resursele – fie că sunt amplasate intern, în infrastructurile on-premises, sau în medii multi-Cloud – companiile pot stabili politicile capabile să asigure accesul securizat al datelor.
A treia etapă constă în stabilirea relațiilor de interdependență dintre componentele de infrastructură, servicii, aplicații și utilizatori și introducerea elementelor de control și verificare a nivelului de încredere al acestora prin crearea de microperimetre de securitate, care protejează suprafața critică în mod dinamic. De exemplu, organizațiile pot crea un sistem microperimetral prin segmentarea rețelei, care să le asigure că doar numai fluxurile de trafic și aplicațiile legitime pot interacționa cu zona critică. Aceste măsuri sunt completate de politicile Zero Trust care determină ce categorii de utilizatori, aplicații sau servicii pot tranzita microperimetrele de protecție și în ce condiții anume.

Costuri și câștiguri
Procesul de construcție a unei arhitecturi de tip Zero Trust este dinamic și necesită o dezvoltare continuă. Arhitectura în sine nu este dependentă de o locație anume și este construită pe infrastructura existentă, în funcție de nevoile identificate fiind integrate diferite soluții de securitate
Organizațiile percep însă abordarea Zero Trust ca fiind costisitoare și complexă. O critică pertinentă în special din punct de vedere al efortului operațional necesar edificării unui astfel de construct. Dar care, odata pus în practică, poate reprezenta un avantaj imbatabil în lupta continuă cu amenințările informatice.



Parerea ta conteaza:

(0/5, 0 voturi)

Lasa un comentariu



trimite