Zero Trust je bezpečnostný model postavený na zásade „nikdy nedôveruj, vždy overuj“. Žiadny používateľ, zariadenie ani aplikácia nedostane prístup len preto, že sa nachádza vo vnútornej sieti. Každá požiadavka sa vyhodnocuje podľa identity, stavu zariadenia, citlivosti dát a ďalšieho kontextu.

Zero Trust nie je jeden produkt, ktorý si kúpite. Je to architektúra a spôsob rozhodovania, ktorý sa zavádza postupne cez identity, zariadenia, siete, aplikácie a dáta. Jeho zásady podrobne opisuje napríklad americký štandard NIST SP 800-207.

Prečo pôvodný model hradu a priekopy nestačí

Tradičná bezpečnosť chránila hranicu siete: kto bol vnútri, tomu sa dôverovalo. Dnes však ľudia pracujú z domu, dáta sú v cloude, aplikácie bežia u poskytovateľov a dodávatelia pristupujú zvonka. Hranica sa rozplynula. Navyše útočník, ktorý sa raz dostane dovnútra, napríklad cez phishing, sa v „dôveryhodnej“ sieti voľne pohybuje a hľadá cestu k cenným systémom.

Základné princípy

  • Explicitné overenie – každý prístup sa overuje silnou identitou, typicky s MFA a pravidlami podmieneného prístupu.
  • Minimálne oprávnenia – prístup len k tomu, čo je potrebné, a len na nevyhnutný čas.
  • Predpoklad kompromitácie – návrh počíta s tým, že útočník už môže byť vnútri, preto sa obmedzuje jeho dosah.
  • Segmentácia siete – oddelenie systémov tak, aby kompromitácia jedného nezasiahla všetky.
  • Stav zariadenia – k firemným dátam sa pristupuje len zo spravovaných a aktualizovaných zariadení.

Ako Zero Trust zavádzať v praxi

  1. Začnite identitami: upratanie AD a Entra ID, MFA pre všetkých, ochrana privilegovaných účtov.
  2. Pokračujte zariadeniami: centrálna správa, šifrovanie, aktualizácie.
  3. Segmentujte sieť a obmedzte, kto môže komunikovať s kritickými servermi.
  4. Klasifikujte dáta a podľa citlivosti nastavte prístupové pravidlá.
  5. Monitorujte a vyhodnocujte prístupy, aby ste odhalili anomálie.

Typickou chybou je snaha urobiť všetko naraz alebo považovať za Zero Trust jediné nasadené riešenie. Lepšie je postupovať po krokoch s merateľným prínosom. Ako PosAm spája Zero Trust s hardeningom a analýzou identít, opisuje článok o posilňovaní kybernetickej odolnosti organizácií.

Časté otázky

Znamená Zero Trust, že nedôverujeme zamestnancom?

Nie. Ide o nedôveru voči predpokladom, nie voči ľuďom. Aj poctivý zamestnanec môže mať ukradnuté heslo alebo infikovaný notebook.

Dá sa Zero Trust zaviesť aj v lokálnej infraštruktúre?

Áno. Princípy platia pre cloud aj on-premise; líšia sa len nástroje.

Na strane koncových zariadení a identít pomáha služba Modern End User Services, na strane serverov a sietí správa IT infraštruktúry od PosAm.