Michał Nowak
Zero Trust to nie produkt, który można kupić, tylko sposób projektowania dostępu: nikomu nie ufamy z założenia – ani użytkownikowi w biurze, ani serwerowi w „bezpiecznej” sieci wewnętrznej. Każde żądanie dostępu jest weryfikowane, ograniczone do niezbędnego minimum i rejestrowane. Pokazujemy, jak zacząć wdrożenie w istniejącej infrastrukturze, bez przebudowy wszystkiego naraz.
Trzy zasady, z których wynika cała reszta
Model opiera się na trzech regułach. Weryfikuj jawnie: decyzję o dostępie podejmuj na podstawie tożsamości, stanu urządzenia, lokalizacji i wrażliwości zasobu, a nie na podstawie tego, że ktoś jest „w sieci firmowej”. Przyznawaj najmniejsze możliwe uprawnienia: tylko do tego, co potrzebne, i tylko na czas, gdy jest potrzebne. Zakładaj, że naruszenie już nastąpiło: ogranicz zasięg ruchu w sieci, szyfruj dane i monitoruj wszystko, co dzieje się między systemami. Klasyczny model „twardy perymetr, miękkie wnętrze” przestał działać, gdy pracownicy, aplikacje i dane wyszły poza biuro.
Krok 1: tożsamość jako nowy perymetr
Najwięcej korzyści najmniejszym kosztem daje uporządkowanie tożsamości – to tu zaczyna się większość włamań:
- jeden katalog tożsamości i logowanie SSO do wszystkich aplikacji zamiast dziesiątek osobnych haseł,
- MFA dla wszystkich, a dla administratorów i działu finansów – odporne na phishing (FIDO2, passkeys),
- dostęp warunkowy: blokada logowań z nieznanych krajów, przestarzałych protokołów i niezarządzanych urządzeń,
- porządek w kontach: natychmiastowe wyłączanie kont odchodzących osób, kwartalny przegląd uprawnień, inwentaryzacja kont serwisowych,
- osobne konta administracyjne, używane wyłącznie do zadań administracyjnych.
Ten etap opisujemy szerzej w usłudze Tożsamość i dostęp.
Krok 2: urządzenia, którym można zaufać
Dostęp do danych firmowych powinien wymagać urządzenia, o którym coś wiesz: zarejestrowanego w systemie zarządzania (MDM), z zaszyfrowanym dyskiem, aktualnym systemem, włączonym EDR i blokadą ekranu. Zacznij od inwentaryzacji – w większości firm liczba urządzeń z dostępem do poczty jest zaskoczeniem – a potem stopniowo ograniczaj dostęp z urządzeń prywatnych do przeglądarki bez możliwości pobierania plików.
Krok 3: segmentacja sieci
Płaska sieć, w której drukarka, kamera, laptop księgowej i serwer bazodanowy widzą się nawzajem, to najlepszy prezent dla ransomware. Podziel ją na strefy (użytkownicy, serwery, urządzenia IoT i OT, goście, systemy kopii zapasowych) i zdefiniuj reguły ruchu między nimi – domyślnie „zabronione”. Dla najważniejszych serwerów rozważ mikrosegmentację na poziomie hosta. Klasyczny VPN, który po zalogowaniu daje dostęp do całej sieci, zastąp rozwiązaniem ZTNA publikującym pojedyncze aplikacje. Jak to zaprojektować bez paraliżowania pracy, opisujemy w usłudze Bezpieczeństwo sieci.
Krok 4: dane i aplikacje
Sklasyfikuj dane choćby w trzech kategoriach (publiczne, wewnętrzne, poufne) i przypisz do nich zasady: gdzie mogą być przechowywane, kto ma do nich dostęp, czy muszą być szyfrowane. Włącz szyfrowanie w spoczynku i w transmisji wszędzie tam, gdzie to możliwe, a dostęp do aplikacji nadawaj według ról, a nie osób. Proste reguły DLP – np. blokowanie wysyłki plików oznaczonych jako poufne na prywatne adresy – wychwytują większość przypadkowych wycieków. Więcej w opisie usługi Szyfrowanie danych.
Krok 5: widoczność, pomiar i iteracje
Zero Trust to program, a nie projekt z datą końcową. Zbieraj logi z systemów tożsamości, urządzeń, sieci i aplikacji w jednym miejscu (SIEM), ustaw alerty na zdarzenia, które naprawdę Cię interesują, i przeglądaj je regularnie. Postęp mierz prostymi wskaźnikami: odsetek kont z MFA, odsetek urządzeń zgodnych z polityką, liczba stref sieci, liczba kont administratora domeny. Realistyczny plan dla średniej firmy to 90 dni na tożsamość i urządzenia, kolejne dwa kwartały na segmentację i dane – a potem cykliczne doskonalenie.
