Zero Trust Security: стоит ли переходить на новый уровень безопасности

По мере развития новых форматов удаленной работы, платформ для командного доступа, облачных сервисов и других технологий, стандартные протоколы информационной безопасности устаревают и становятся малоэффективными. Согласно официальному сообщению Роскомнадзора, в 2024 в сеть утекло более 510 млн файлов с личными данными россиян. Это не единичный, а лишь один из многих случаев утечки конфиденциальной информации.

С целью предотвращения подобных инцидентов была создана принципиально новая модель защиты данных Zero Trust (ZT). Концепция «Never trust, always verify» (Никогда не доверяй, всегда проверяй) основана на простой идее: любые субъекты инфраструктуры — юзеры, устройства, приложения — не могут считаться надежными только потому, что они взаимодействуют в рамках одной системы. Субъектам нужно постоянно подтверждать свои права на доступ к общим ресурсам. Контроль и строгая политика идентификации присутствуют в такой системе всегда.

Узнаем, что собой представляет концепция Zero Trust, в чем ее отличие от традиционных методов информационной безопасности, в чем преимущества «нулевого доверия» и каким компаниям стоит задуматься о переходе на новый формат защиты данных.

Чем Zero Trust отличается от традиционной безопасности

Стандартные протоколы безопасности предусматривают размещение субъектов корпоративной системы в пределах защищенного контура, при этом все важные и конфиденциальные данные хранятся на собственных серверах и оборудовании компании (формат on-premise).

Предполагается, что при работе в таком режиме создается безопасная среда, в которой пользователи и устройства могут без ограничений взаимодействовать между собой. Защита фокусируется на внешнем периметре и выявляет потенциальные уязвимости при проникновении со стороны.

Такой подход эффективен до тех пор, пока зона зашиты ограничена локальной сетью, а сотрудники работают в пределах одного офиса или небольшой группы. Но времена меняются — сейчас востребованы более сложные форматы корпоративного взаимодействия, например, работа в облаке. Сложно сохранить контур неуязвимым, постоянно находясь в сети — корпорациям требуются более прогрессивные способы защиты.

Концепция тотального недоверия

Ответом на современные вызовы стала концепция Zero Trust. Ее постулат — постоянное сомнение в надежности внутренней сети. В системе координат Нулевого доверия разделения на внешнее и внутреннее пространства сети не существует. Нет и полной свободы в обращении с данными внутри доверенной среды (вспоминаем про утечки).

Zero Trust не верит в надежную защиту периметра, а подвергает полноценной проверке любые действия юзеров, приложений и устройств. Субъектам, прежде чем получить доступ к каким-либо ресурсам, требуется в обязательном порядке подтвердить свои права на такие действия.

Может показаться, что Zero Trust создает пользователям надуманные сложности. Но у концепции есть сугубо практический смысл — с надежной защитой к периметру могут без ограничений подключаться не только штатные сотрудники компании, но и удаленщики, партнеры, фрилансеры, клиенты.

Эти взаимодействия происходят в безопасном режиме, при этом каждый обладает лишь теми правами, которые ему необходимы. То есть, если злоумышленник взломает чью-то учетку, его возможности все равно будут ограничены. Такое проникновение не скомпрометирует всю инфраструктуру и будет быстро ликвидировано.

Концепция Zero Trust актуальна, в первую очередь, для крупных корпораций с тысячами клиентов и многочисленными удаленными сотрудниками — это банки, страховые компании, образовательные платформы, медицинские и другие учреждения, которые используют в работе гибридные и облачные среды и особенно нуждаются в защите от утечки данных.

Основные принципы Zero Trust Security

Нулевое доверие — закономерный результат эволюции инструментов цифровой безопасности. Однако внедрение этой концепции предполагает существенное переформатирование существующих протоколов защиты.

Сформулируем базовые принципы Zero Trust.

Опасность повсюду

Система нуждается в постоянном мониторинге и журналировании. Согласно базовым установкам ZT, злоумышленники есть снаружи и внутри сети, а значит, ни к одному устройству, приложению или пользователю нет доверия по умолчанию.

Каждый субъект считается ресурсом. Например, если сотрудник подключается к рабочей среде через смартфон, устройство тоже определяется как ресурс, нуждающийся в проверке. Необходимо убедиться, что любые ключи аутентификации защищены должным образом.

Минимальный доступ

Принцип Least Privilege (минимальные привилегии) означает, что пользователям разрешен ограниченный доступ к данным в необходимых пределах. Взаимодействие субъектов с конфиденциальными данными сведено к минимуму, полное доверие внутри периметра больше не работает.

Сегментация как основа безопасности

Микросегментация — разделение сети на отдельные фрагменты в соответствии с типом данных. Для каждого из таких компонентов действуют свои настройки безопасности и доступа.

Такая схема гарантирует, что пользователи не получат доступ к другим сегментам без дополнительной верификации. Жесткий контроль существенно снижает риски хакерских атак и защищает ключевые элементы системы.

Многофакторная аутентификация

Для получения доступа пользователи проходят проверку с помощью MFA — такой способ более надежен, чем двухфакторная идентификация. В Zero Trust минимизированы любые риски ошибочного подтверждения личности пользователя.

Действует три правила мультифакторной верификации:

1. Безопасность не должна основываться только на симметричных ключах, паролях, кодах либо контрольных вопросах. 
2. Для надежной защиты от фишинга и взломов требуется специальное программное обеспечение. 
3. Технологии MFA должны быть масштабируемы и просты в применении.

В сложных системах с ZT доступ учитывает как личность пользователя, так и поведенческие факторы. Управление доступом на основе контекста предполагает множественные критерии проверки субъектов — местоположение, IP-адрес, соответствие устройства корпоративным форматам.

Преимущества внедрения Zero Trust Security

Концепция нулевого доверия на порядок усиливает безопасность данных в организациях и снижает затраты на защиту конфиденциальности.

В числе основных плюсов Zero Trust:

• Надежная защита от утечек данных, атак на цепочки поставок и программы-вымогатели. Конфиденциальная информация становится менее доступной для злоумышленников. Поскольку сеть сегментирована, а доступ ограничен, хакерам сложнее скрыть свои действия. Система быстро обнаруживает взлом, если таковой случается, и не допускает массовой утечки. 
• Улучшенный контроль доступа. Благодаря защите конечных точек и многофакторной проверке, модель ZT блокирует попытки злоумышленников получить доступ к сетям и приложениям, защищает бизнес от инсайдерских угроз. Это делает систему наиболее эффективным инструментом управления из всех существующих.
• Расширенные возможности для бизнеса. У компаний появляется больше вариантов для развертывания инфраструктуры. Они могут: выбирать для работы облачные и гибридные среды, частные и публичные сети; увеличивать количество конечных точек; подключать новые серверы и приложения. Сокращаются расходы на инфраструктуру, а возможности для роста и масштабирования становятся почти неограниченными. 
• Безопасность дистанционного взаимодействия. Благодаря надежной защите данных, компании могут более интенсивно развивать удаленные форматы работы — нанимать сотрудников по всему миру, предоставлять им больше ресурсов для продуктивной работы и повышать производительность труда. 
• Прозрачность. Модель Zero Trust, развернутая в облаке, обеспечивает прозрачность сетевого трафика. Поставщики услуг выполняют постоянный мониторинг сетей, устраняют неполадки, внедряют обновления и патчи, следят за цифровой безопасностью устройств и самих приложений для аутентификации.
• Удобное использование. Внедрение обновленных политик доступа и технологий проверки личности позволяет отказаться от самостоятельной аутентификации пользователей в течение рабочего дня. Принцип единого входа с MFA избавляет сотрудника от запоминания сложных паролей.  

Рабочую модель ZT несложно настроить в соответствии с корпоративными и внешними нормативами. Такая среда безопасности упрощает аудит и способствует соблюдению международных стандартов типа PCI DSS.

Недостатки и вызовы внедрения Zero Trust

У концепции есть и минусы:

• Сложная реализация. В больших корпорациях со сложной ресурсной структурой внедрение инструментов и принципов Нулевого доверия занимает месяцы, иногда годы. Процесс включает в себя инвентаризацию всех подключенных устройств и их модернизацию (при необходимости), установку новой корпоративной политики, запуск систем управления.
• Затраты на внедрение. Переход на ZT требует масштабных инвестиций, особенно если речь идет о компаниях с сотнями сотрудников, множеством конечных устройств и офисами в разных городах. Кроме того, сотрудников придется обучать новым стандартам работы.
• Ограниченная сфера применения. Для компаний, которые работают с локальными сетями, переход на новый формат будет слишком затратным. Им придется довольствоваться стандартными инструментами безопасности. 

Облачные сервисы широко применяют зарубежные компании, однако в России массовое использование таких технологий еще впереди. И хотя гибридные форматы работы практикуют во многих корпорациях, вопросы кибербезопасности по прежнему решаются с помощью морально устаревших локальных технологий. Отсюда многочисленные утечки данных, о которых мы регулярно читаем в СМИ.

При этом внедрение облачных технологий в бизнес-процессы — неизбежный процесс, обусловленный общими трендами цифрового мира. Это значит, что компаниям все равно придется переходить на новые стандарты безопасности. Лучше сделать это раньше конкурентов, чем оказаться в роли догоняющего. Кроме того, утечки и хакерские атаки всегда связаны с издержками, возможно, более серьезными, чем затраты на внедрение ZT.

Ключевые шаги для перехода на Zero Trust

Внедрение архитектуры Zero Trust в существующую систему — долгосрочный процесс, требующий серьезных вложений в технологии, инструменты и человеческие ресурсы. Рассмотрим основные этапы реализации на примере среднестатистической компании.

Аудит устройств и инфраструктуры

Потребуется провести инвентаризацию всех ресурсов организации, отследить взаимодействие между компонентами, оценить текущий уровень безопасности, способы доступа сотрудников и связанные с ними риски.

Аудит касается:

• конфиденциальной информации;
• всех устройств с доступом к ресурсам, включая персональные гаджеты сотрудников; 
• используемого софта;
• учетных записей. 

По итогам инвентаризации составляют полный каталог, который поможет отследить, где расположены активы компании и кто имеет к ним доступ. Потребуется оценить критические точки уязвимости и наиболее значимые для рабочих процессов ресурсы.

Внедрение решений для контроля доступа и управления

Новые инструменты внедряются в рабочие процессы постепенно и последовательно. Технологии Нулевого доверия позволяют отслеживать новые уязвимости и блокировать угрозы в реальном времени. Благодаря сегментации и ограниченному доступу, минимизируется объем данных, который может быть похищен при разовой атаке.

Разработка и внедрение архитектуры Zero Trust — дело экспертов. Им предстоит разбить сеть на сегменты, установить многофакторную идентификацию и новые политики безопасности для каждой группы устройств и пользователей.

Исполнение и мониторинг

Запуск новых стандартов требует времени. Нужно обучить сотрудников работе в новых условиях, объяснить им значимость подхода Нулевого доверия. Это снизит риски некомпетентного вмешательства и ошибок по вине человеческого фактора.

Сети и устройства, работающие по новым стандартам, требуют профессионального мониторинга. Необходимо также контролировать поведение пользователей, чтобы оценить эффективность протоколов ZT и внести коррективы, если потребуется.

Инструменты и технологии для Zero Trust Security

В число наиболее эффективных на текущий момент технологий реализации «концепта тотального недоверия» входит виртуальная сеть Zero Trust Network Access.

Система ZTNA состоит из контроллера, управляющего доступом пользователей и приложений, и сервисного шлюза, который рассматривает подключаемые устройства и предоставляет им защищенный доступ к корпоративным ресурсам. Шлюз User Gate определяет, к какому сегменту данных можно подключить пользователя, управляя процессом в режиме онлайн в строгом соответствии с протоколами безопасности.

Среди систем управления доступом наиболее востребованы Azure и Okta. Первый инструмент — комплексная платформа, которая предоставляет организациям облачные сервисы, компоненты управления и безопасности под контролем искусственного интеллекта.

Okta — система управления аутентификацией, работающая в облаке и на реальных устройствах за межсетевым экраном. Этот инструмент разработан для веб-приложений и применяется для бесшовного контроля единой аутентификации пользователей, получающих услуги и цифровые услуги онлайн.

В рамках реализации политики Нулевого доверия применяются современные SIEM-системы — высокопроизводительные программы мониторят и анализируют данные в реальном времени и дают полную оценку уровня цифровой гигиены в системе. Тщательный анализ информации из различных источников позволяет выявить угрозы и уязвимости, которые не отслеживаются другими инструментами.

Когда стоит задуматься о переходе на Zero Trust Security

В первую очередь, внедрение Zero Trust Security актуально для крупных корпораций, которые работают с большими массивами данных и конфиденциальной информацией. Переход на новую политику необходим компаниям, активно работающим с удаленными сотрудниками или использующими гибридные форматы взаимодействия с персоналом.

Использование облачных структур — еще одна причина внедрения ZT в рабочие процессы. Стоит задуматься о новом уровне безопасности при обновлении устаревших систем, подключении сторонних устройств и расширении производства. Структура ZT абсолютно необходима поставщикам ПО как услуги (SaaS) непосредственно в браузере через облачные сервисы.

Если компания работает с перспективными стартапами, занимается финансами, инвестициями, страхованием, безопасность данных — вопрос первостепенной важности. Использование устаревших систем защиты в целях оптимизации и экономии ресурсов — недальновидное решение, которое может стоить компании репутации и денег.