Zdieľať

Zero Trust: O nouă abordare pentru protejarea viitorului dvs. digital

Zdieľať

Zero Trust (încredere zero) este o abordare a securității IT care pornește de la premisa că nicio persoană și niciun dispozitiv – nici din interiorul rețelei, nici din afara ei – nu trebuie considerate automat de încredere. Toate conexiunile de rețea sunt tratate ca nesigure până la verificare.

Modelul se bazează pe câteva principii: verificarea utilizatorului și a dispozitivului, minimizarea privilegiilor, segmentarea rețelei, monitorizarea continuă și reacția la incidente. Scopul este reducerea riscului și diminuarea dependenței de protecția tradițională a perimetrului.

Termenul Zero Trust este menționat în ultima vreme foarte des în contextul securității cibernetice. Conceptul de încredere ca mărime care poate fi formalizată a fost descris încă din 1994 de Stephen Paul Marsh, în teza sa de doctorat Formalising Trust as a Computational Concept, la University of Stirling. Tocmai acest concept a devenit ulterior un element-cheie în domeniul securității cibernetice.

Să vedem cum funcționează Zero Trust și care sunt elementele sale principale.

Recomandăm

Elementele-cheie ale Zero Trust

Identitate și acces

Fiecare utilizator și fiecare dispozitiv trebuie verificate. Aici intră autentificarea în doi factori (2FA) și alte metode de verificare. Se pornește de la ideea că orice utilizator și orice dispozitiv reprezintă o potențială amenințare, așa că verificarea trebuie să fie permanentă.

Privilegii minime

Fiecare utilizator are acces doar la resursele strict necesare pentru munca sa.

Securizarea dispozitivelor

Toate dispozitivele care se conectează la rețea trebuie securizate. Aici intră actualizările de software, protecția antivirus și alte măsuri.

Segmentarea rețelei

Rețeaua este împărțită în segmente mai mici, izolate, ceea ce limitează accesul la resursele critice și reduce riscul de propagare a amenințărilor.

Monitorizare continuă

Activitatea din rețea este monitorizată permanent, pentru ca amenințările potențiale să poată fi identificate rapid și tratate în timp real.

Reacția la incidente

Elaborarea de planuri și aplicarea de măsuri pentru o reacție rapidă în cazul incidentelor de securitate, astfel încât pagubele să fie minimizate.

Avantajele Zero Trust

Securitate sporită

Datorită verificării stricte și segmentării rețelei, atacatorilor le este mai greu să obțină acces la informații sensibile.

Vizibilitate mai bună

Monitorizarea continuă oferă o imagine mai clară asupra a ceea ce se întâmplă în rețea.

Limitarea mișcării atacatorilor

Datorită segmentării și privilegiilor minime, atacatorii au posibilități limitate de deplasare în rețea.

Ilustrație: AI-generated

Implementarea arhitecturii Zero Trust

Introducerea unei arhitecturi Zero Trust necesită o planificare atentă și colaborare la nivelul întregii organizații. Tocmai acest factor descurajează multe companii, care evită astfel implementarea Zero Trust. Există câțiva pași de bază pentru a începe.

Analiza mediului existent

Cartografierea tuturor utilizatorilor, dispozitivelor și punctelor de acces.

Stabilirea politicilor de autentificare

Introducerea autentificării în doi factori (2FA), a autentificării multifactor (MFA) și a altor metode de verificare.

Segmentarea rețelei

Împărțirea rețelei în segmente mai mici, în funcție de criticitatea datelor și a serviciilor.

Monitorizare și analiză continuă

Implementarea unor instrumente de monitorizare și analiză a traficului din rețea.

Instruirea angajaților

Formarea angajaților privind procedurile de securitate și importanța respectării politicilor.

Zero Trust poate crește semnificativ securitatea unei organizații, însă necesită o planificare atentă și monitorizare permanentă.

Principalele motive pentru implementarea Zero Trust

Riscuri de securitate

Numărul tot mai mare de atacuri cibernetice și perfecționarea tehnicilor de război cibernetic.

Evoluția rapidă a tehnologiilor

Progresul rapid în domenii precum cloud computing, IoT și dispozitivele mobile, care măresc suprafața de atac.

Reglementări și norme

Cerințe tot mai stricte privind respectarea normelor și reglementărilor de securitate, cum sunt GDPR și CCPA.

Schimbări în mediul de lucru

Trecerea la modele de lucru hibride și utilizarea sporită a serviciilor și aplicațiilor externe.

Conștientizare

Un nivel mai ridicat de conștientizare a importanței securității datelor și a protecției datelor cu caracter personal.

Unde este cerută cel mai strict implementarea Zero Trust

Zero Trust se aplică mai ales acolo unde informațiile sensibile și datele sunt critice pentru funcționarea organizației. Aici intră:

Autoritățile de stat și guvernamentale

Instituțiile publice trebuie să asigure protecția datelor cu caracter personal sensibile și a informațiilor de stat.

Instituțiile financiare

Băncile, societățile de investiții și alte instituții financiare trebuie să respecte reglementări stricte de securitate și să protejeze datele financiare sensibile.

Unitățile medicale

Spitalele și organizațiile din domeniul sănătății trebuie să protejeze informațiile personale și medicale ale pacienților.

Întreprinderile de producție și industriale

Firmele care lucrează cu tehnologii și procese de producție sensibile trebuie să își securizeze procesele și să își protejeze know-how-ul tehnologic.

Instituțiile științifice și de cercetare

Organizațiile care desfășoară activități de cercetare și dezvoltare trebuie să își protejeze datele și rezultatele cercetării.

Zero Trust este util și pentru organizațiile care trec la modele de lucru hibride și folosesc servicii cloud, dispozitive IoT și tehnologii mobile.

Există vreo lege care impune sau recomandă implementarea Zero Trust?

Există câteva legi și directive care susțin sau recomandă implementarea modelului Zero Trust. Pentru Uniunea Europeană a fost adoptată directiva NIS2 (Network and Information Systems). Aceasta aduce reguli noi pentru asigurarea securității cibernetice și pentru protejarea organizațiilor împotriva amenințărilor cibernetice. Organizațiile care intră sub incidența directivei trebuie să adopte măsuri tehnice și operaționale care să le crească rezistența la aceste amenințări. Directiva menționează Zero Trust în considerentul 89, unde include principiile încrederii zero printre practicile de bază de igienă cibernetică – alături de actualizările de software, configurarea dispozitivelor, segmentarea rețelei, gestionarea identităților și a accesului și creșterea gradului de conștientizare în rândul utilizatorilor. Articolul 21, care stabilește măsurile obligatorii de gestionare a riscurilor, nu impune însă modelul Zero Trust în mod explicit; cerințele sale (controlul accesului, MFA, segmentarea, monitorizarea continuă) se suprapun totuși cu principiile Zero Trust.

În SUA, președintele Joseph Biden a semnat la 12 mai 2021 ordinul executiv nr. 14028 privind îmbunătățirea securității cibernetice a țării (Improving the Nation's Cybersecurity). Secțiunea a treia a acestuia, dedicată modernizării securității cibernetice a guvernului federal, obligă agențiile federale să avanseze către o arhitectură Zero Trust. Memorandumul subsecvent OMB M-22-09, din ianuarie 2022, a transformat acest lucru într-o strategie națională cu obiective concrete.

Să revenim la lucrarea lui Marsh, în care acesta trata încrederea ca pe ceva finit, care poate fi descris matematic. El pornea de la afirmația că noțiunea de încredere depășește factorii umani, precum etica, morala, legalitatea, dreptatea și judecata. Încrederea este o vulnerabilitate.

Zero Trust este o abordare modernă a securității IT construită tocmai pe lipsa de încredere. Se bazează pe toleranță zero față de încrederea acordată utilizatorului și dispozitivului și pe verificarea permanentă a identității și a accesului. Astăzi se numără printre cele mai răspândite modele recomandate în domeniul securității cibernetice.


2FA – la autentificare se cere, pe lângă parolă, încă un element de verificare a securității.

CCPA (California Consumer Privacy Act) – legea californiană privind protecția consumatorului. Act normativ statal care întărește drepturile consumatorilor la viață privată și reglementează colectarea, utilizarea și vânzarea datelor cu caracter personal de către companiile care activează în California. Echivalentul californian al GDPR european.

GDPR (General Data Protection Regulation) – regulamentul UE privind protecția datelor cu caracter personal, intrat în vigoare la 25. 5. 2018.

Blog Ďalšie zaujímavé články
Coș de cumpărături
Coşul de cumpărături nu conţine articole
TonerDepot.ro
Logare
Menu