Kimondani könnyű, megvalósítani nem annyira. A teljes bizalmatlanság, angolul Zero Trust alkalmazása a kiberbiztonság területén egyes források szerint már több mint tíz évvel ezelőtt elkezdődött, ám igazán csak mostanság jött el az ő ideje. Az informatikában végbemenő, egyelőre megfordíthatatlannak tűnő változások – mobilitás, BYOD, kiterjedt adatdisztribúció, felhős működés, a kitettség exponenciális növekedése, hogy csak néhányat említsünk – újfajta kihívásokkal teszi próbára a kiberbiztonságért felelős eszközöket és azokat, akiket azért fizetnek a szervezetekben, hogy az IT-rendszerek biztonságosan működjenek.
A Zero Trust gondolata nem áll távol az emberi természettől, bizonyos kiélezett történelmi helyzetekben nem ritka, hogy a biztonság érdekében rendkívüli intézkedéseket vezetnek be csoportok, közösségek, ám nemigen találni olyan példákat, amelyekben a teljes bizalmatlanság és a fejlődés, növekedés egyszerre lett volna jelen. Az informatikai rendszerek lényege, hogy lehetővé tegyék a szervezetek olajozott működését, az információk gyors áramlását, feldolgozását és elérhetőségét, ezért első ránézésre a teljes bizalmatlanság megközelítés akár alkalmazhatatlannak is tűnhet az ilyen szisztémákban.
Közismert az ellentét a paranoiásan biztonságra törekvő IT-biztonsági szakemberek és a felhasználói élményért, az akadálytalan működésért küzdő üzleti vezetők között. Az egyik fél mindent megtesz a védelemért, a másik pedig azt akarja, hogy az IT-rendszer betöltse igazi hivatását, minden eszközével szolgálja a közvetlen üzleti érdekeket, ne ellenállás legyen, hanem gyorsító hatású.
A bevezetőmben említett változások kétségtelenül olyan helyzetet teremtenek a digitalizált működés világában, amelyben, ha minden úgy csinálunk, mint eddig, a szervezetek kitettsége, sebezhetősége a menedzselhetetlenség szintjére emelkedik. Az előző mondatot akár múlt időbe is tehettem volna, ugyanis az ipari szereplők bizonyos csoportjai immáron tényként könyvelik el, hogy ha nem teszünk valamit, a rosszfiúk számára szabad prédává válnak a gazdaságot működtető, a társadalmat ellátó rendszerek.
Ha a szakirodalomban csupán néhány órácskára elmerülünk a Zero Trust után kutatva, megtaláljuk azt az interpretációját, amely olyan megközelítésként írja le lényegét, amely nem feltétlenül jár a működés masszív akadályozásával, lassításával.
A teljes bizalmatlanság elvére alapuló megközelítéssel megalkotott és működtettet informatikai rendszerekben a legfőbb szabálya – ahogyan szerény tudásom szerint leszűrtem a tárgyban folytatott kutatásaim tanulságát –, hogy a konnektivitás, tehát az, hogy valaki beléphet a rendszerbe, mindig azonosítással kell, hogy történjen, és az, hogy milyen jogosultsággal működhet valaki a hálózatban, a kontextus alapján dőljön el. Mindig az legyen a gépnél, az eszköznél, aki arra jogosult személy, és az a személy, aki beléphetett a rendszerbe, csak olyan erőforrásokhoz (alkalmazásokhoz, adatbázisokhoz, dokumentumokhoz) férhessen hozzá, amelyek elérése az adott időben, helyzetben feladat végzése közben neki engedélyezett.
Mester Sándor
