A „zero trust” nem új keletű jelenség az IT-biztonságban, azonban az elmúlt két év történései és a hazai vállalkozói és vállalati ökoszisztéma fokozódó érettsége most eredményezte azt, hogy a zéró bizalom védelmi stratégia alkalmazása mindennapi kérdésfelvetéssé váljon. Három eltérő szegmens sokat látott kiberbiztonsági vezetőit kérdeztük a „zero trust” bevezetési kihívásairól, érettségről, működtetési akadályairól és arról, miért ódzkodnak ettől a felhasználók.
A „zero trust” közel egy évtizede már jelen van, bizonyos elemeivel pedig szinte az összes szervezet találkozott már. Ugyanakkor pontos definiálása az elmúlt években nehézkessé vált. A nulla bizalom elve azt mondja ki, hogy minden hálózati erőforrás igénybevételekor folyamatosan, ismétlődően ellenőrizni kell az adott eszközt, az azt használó usert és a biztonsági állapotot is. A megközelítés fókuszpontjában a minél mélyebb szinten érvényesíthető biztonsági kontrollok alkalmazása van, amit a megfelelő architekturális környezetben az IT-terület egyéb automatizált folyamataival is össze lehet hangolni. Így bármilyen típusú riasztás esetén azonnal működésbe tudnak lépni az automatizmusok, ezzel csökkentve a visszaélés esélyét. Ugyanakkor, hosszú út vezet a felhasználók által sokszor nem kedvelt „zero trustig”.
Minden a nulla bizalom irányába mutat, kivéve a felhasználó kényelme
Egy kutatás szerint az Egyesült Királyság üzleti vezetőinek és IT-döntéshozóinak 98 százaléka vagy tervezi bevezetni, vagy már be is vezette a „zero trust” stratégiát a vállalatuknál. Ez azonban nem könnyű.
„Tíz éve is beszéltünk már a »zero trustról«, de a tipikus vállalati környezet most jutott el arra a szintre, hogy ne az előnyeinek vagy hátrányainak vizsgálatánál ragadjunk le, hanem felismertük annak szükségességét, hogy a megszokott szervezési elvektől és architektúráktól eltérően, más elképzelés mentén építsük a biztonságot”, fogalmazta meg Gélák Róbert, a HungaroControl kibervédelmi és információbiztonsági csoportvezetője.
A zéró bizalom kérdésköre azért is érdekes, mert ha ez kerül előtérbe, akkor az adatok nagyobb biztonságban vannak ugyan, de befolyásolja a munkavégzés gördülékenységét. „Saját tapasztalatból tudom, hogy a felhasználók számára a »zero trust« bizonyos elemei kényelmetlenek. Előfordul, hogy a biztonsági házirend betartása több időt vesz igénybe, mint a tevékenység, amelyet el kell végezni. Nyilván a felhasználóknak az az érdeke, hogy gyorsan, egyszerűen és könnyen tudja kezelni a felületeket, hozzáférjen a feladat elvégzéséhez szükséges információhoz, míg a biztonsági szakemberek, érthető módon, az IT-biztonságot helyezik előtérbe. Meg kell megtalálni az optimumot, hogy biztonságosan is tudjuk működni, de ne gátoljuk vele a munkát”, mondta Tanka László, a BM Országos Katasztrófavédelmi Főigazgatóság CIO-ja.
A támadók szemében dollárjel, a dolgozókéban kérdőjel villog
A felhős megoldások térnyerése azt eredményezte, hogy el kell mozdulni a „zero trust” irányába, mert az „erőd” modell már nem hatékony. A felhő „kifordította” a cégeket, már nem lehet egyértelműen körülrajzolni a szervezet határait, ami eddig a falakon belül volt, az most kívülre került, és ott kell megvédeni.
|
A „zero trust” öt előnye: 1. A jövőben a klasszikus felépítések átalakulását követően is megvédhető az infrastruktúra, az adat, és a vállalat 2. Hozzáférést biztosít a felhőhöz és a tárolókörnyezetekhez 3. Támogatja a megfelelési kezdeményezéseket 4. Ha jól van felépítve, egyszerűsíti a felhasználói hozzáférést 5. Átláthatóbbá teszi a vállalat működését Forrás: techtarget.com |
Sok előfeltételnek teljesülnie kell ahhoz, hogy a „zero trust” bevezethetővé váljon. „Meghatározó kritérium az érettség, amely szintén több lépésből adódik össze. a szervezetnek pontosan ismernie kell a saját architektúráját, pontos, naprakész nyilvántartással kell rendelkeznie a felhasználókról, azok jogosultságairól, a felhasználói eszközökről, a szolgáltatásokról, hiszen ezek mentén kell a szabályokat kialakítani. Ezek a legalapvetőbb feltételek, erre épülhet rá minden szolgáltatásnál a megfelelő autentikáció, autorizáció és minden kapcsolódó biztonsági folyamat”, részletezte Gélák Róbert.
„Infrastruktúra- és szegmensfüggő is, hogy a nulla bizalom keretrendszere bevezethető-e, hiszen bizonyos területeken szinte ellehetetlenítené a munkavégzést. A mi szervezetünknél a magam részéről nem vezetném be teljes körűen, viszont a kritikus területeken nagyon hasonló elv mentén működünk most is”, mondta Tanka László.
„Sajnos, olyan világot élünk, függetlenül a vállalatmérettől, hogy az információbiztonság területén gyakorlatilag már senkiben és semmi, eddig jól bevált technikai megoldásban nem bízhatunk meg feltétlenül: emailek, csatolmányok, tanúsítványok, gyártó által kibocsátott patch-ek – nem bízhatunk már abban sem, hogy a gyártó/fejlesztő által kiadott frissítés nem tartalmaz káros kódot. Az elmúlt fél év pont erről szólt, hogy a biztonságosnak hitt informatikai kapcsolatok, források, amik eddig megbízhatóak voltak, vagy annak látszódtak, sok esetben hitelüket vesztették”, mondta Bódis Péter, a Magyar Államkincstár CISO-ja.
Persze technológiai szempontból is sok kontrollt lehet beépíteni és elhelyezni a végpontokon, a hálózati monitorozására, de nem szabad megfeledkezni a biztonságtudatosság oktatásáról. A kollégák figyelmét fel kell hívni arra, hogy óvatosan és megfontoltan kattintsanak, vagyis mindig jelenjen meg a szemük előtt az a bizonyos kérdés: biztonságos?
Mi van a zero trust után?
Varázsgömb nélkül nehéz jósolni. Az viszont már most jól látható, hogy egyre nagyobb fókusz van az IT-biztonságon, a technológiára és az informatikára való utaltság pedig még inkább ezt a tendenciát fogja erősíteni. Az újabb mérföldkövet – amelyet most a „zero trust” jelent –, valószínűleg a mesterséges intelligencia terjedése, fejlődése, IT-biztonságba történő fokozottabb bevonása fogja jelenteni, ami ismét új irányba terelheti az iparágat.
„Elsősorban ez a nagyvállalatoknál lesz izgalmas, noha cégmérettől függetlenül mindenkinek el kell mozdulni a »zero trust« felé. A mesterséges intelligenciában és a felhő által nyújtott erőforrásokban, információhalmazban látom egyértelműen a fejlődés lehetőségét, és az ezek által adott automatizmusokban. Az felhasználót is, az üzemeltetőt is, a fejlesztőt is, az információbiztonságért felelős vezetőt is mára technológiával, automatizmusokkal kell segíteni az IT-biztonságban”, jelzi előre Bódis Péter.
Kiss Franciska
