Малките екипи често се срещат с Zero Trust чрез объркан, практичен въпрос: „Ние вече използваме VPN за дистанционна работа. Трябва ли да го заменим?“
По-добрият въпрос обикновено е по-тесен. Какво все още трябва да обработва VPN и какво трябва да се премести в правилата за самоличност, устройство, политика, наблюдение и достъп около него?
Това е мястото, където започва практическата Zero Trust миграция. Не започва с лозунг или решение за гигантска платформа. Започва, като третира всяка отдалечена връзка като заявка, която се нуждае от контекст: кой се свързва, от кое устройство, към кой ресурс и с каква цел.
Какво Zero Trust променя относно отдалечения достъп
NIST описва Zero Trust като преминаване от разчитане на статичен мрежов периметър към защита на потребители, активи и ресурси. Казано на обикновен английски, да бъдеш „в мрежата“ не трябва автоматично да означава, че човек или устройство получава широк достъп.
За малък екип тази идея има значение, защото дистанционната работа вече рядко се извършва от една чиста офис мрежа. Хората се свързват от дома, хотели, коуъркинг пространства, мобилни горещи точки, клиентски сайтове и лични устройства. Изпълнителите може да имат нужда от едно табло, но не и от останалата част от фирмената среда. Основателят може да се нуждае от администраторски панел, докато пътува. Съотборник по поддръжката може да се нуждае от стабилен път за достъп, но само за ограничен набор от инструменти.
Това е истинският бизнес проблем зад отдалечения достъп с нулево доверие: екипът се нуждае от полезна отдалечена свързаност, без да третира всяка успешна връзка като широко доверие.
Където VPN все още пасва
VPN все още може да бъде полезен в този модел. Той може да създаде криптиран мрежов път, да направи маршрутите за достъп по-предвидими и да поддържа работни потоци, където стабилен източник IP или защитена връзка е част от работната рутина.
Например, малък екип може да използва VPN, когато:
- достъп до административни табла от обществени или споделени мрежи;
- свързване на изпълнители чрез определен път за отдалечен достъп;
- запазване на поведението на списъка с разрешени SaaS по-предвидимо;
- разделяне на работния трафик от локалното Wi-Fi излагане;
- намаляване на случайния достъп от хотели, летища или коуъркинг пространства.
Важният момент е, че vpn и нулевото доверие не трябва да се разглеждат като избор, при който победителят получава всичко. VPN отговаря на една част от въпроса за достъп: как трафикът пътува между потребител и ресурс. Zero Trust мисленето задава допълнителни въпроси преди и след съществуването на тази връзка.
Какво не бива да се иска от VPN
Проблемите започват, когато VPN стане единствената врата.
Ако всички споделят едно удостоверение, екипът не може лесно да разбере кой се е свързал. Ако всеки потребител достигне всеки вътрешен ресурс след свързване, пътят VPN е твърде широк. Ако устройствата не са закърпени, защитени или изключени, връзката може да изглежда легитимна, докато крайната точка остава рискована. Ако няма преглед на това кой има нужда от достъп, старите разрешения се натрупват.
VPN също не замества:
- многофакторна автентификация;
- мениджър на пароли и уникални пароли;
- актуализации на устройството и хигиена на крайната точка;
- изтегляне на акаунт;
- ролеви разрешения;
- информираност за фишинг;
- мониторинг и преглед на журнала;
- ясни правила за изпълнител и администраторски достъп.
Това не прави VPNs остарели. Това означава, че VPN трябва да има дефинирана работа в по-широк план за достъп.
Малък екип Zero Trust Миграция без излишно изграждане
Големите организации могат да използват подробни модели на зрялост и по-широки програми за архитектура със защитен достъп. Малките екипи могат да заимстват принципите, без да се преструват, че имат същия персонал, бюджет или инфраструктура.
Започнете с тези стъпки.
1. Избройте ресурсите, до които хората действително достигат
Запишете системите, до които отдалечените работници, администратори, изпълнители и основатели имат достъп. Дръжте го конкретно:
- административни табла;
- хранилища на кодове или сценични среди;
- финансови инструменти;
- системи за поддръжка на клиенти;
- системи за управление на съдържанието;
- споделено облачно хранилище;
- вътрешни приложения;
- SaaS акаунти с чувствителни настройки.
Не започвайте с „мрежата“ като едно голямо нещо. Започнете с ресурси. Това съответства на идеята Zero Trust, че защитата трябва да се фокусира върху това, което хората се опитват да използват, а не само откъде се свързват.
2. Начертайте кой се нуждае от всеки ресурс
След това попитайте кой наистина се нуждае от достъп. Изпълнител, който редактира копие на продукт, може да не се нуждае от таблото за фактуриране. Сътрудник от екипа за поддръжка може да се нуждае от клиентски инструмент, но не и от достъп до регистратора на домейни. Разработчикът може да се нуждае от промеждувен достъп, но не всеки административен панел за производство.
Това е мястото, където достъпът с най-малко привилегии става практичен. Целта не е работата да бъде болезнена. Целта е да се премахнат разрешенията, които никой не може да защити.
За всеки ресурс дефинирайте:
- собственик;
- одобрени потребители или роли;
- причина за достъп;
- нормален метод на достъп;
- график за прегледи;
- собственик извън борда.
Дори една проста електронна таблица е по-добра от разчитането на паметта.
3. Поставете проверките на самоличността преди чувствителен достъп
Zero Trust третира самоличността като основен сигнал за достъп. За малък екип първото подобрение често е основно, но ценно: уникални акаунти, многофакторно удостоверяване и липса на споделени влизания за чувствителни инструменти.
Ако идентификационни данни VPN се споделят от целия екип, поправете този модел, преди да добавите сложност. Споделеният достъп прави излизането от борда по-трудно и отслабва отчетността. Дайте на хората индивидуални акаунти, където инструментът го позволява, и дръжте методите за възстановяване под контрол на компанията.
4. Определете очакванията за устройството
Zero Trust също пита дали устройството трябва да се довери за заявената работа. Малък екип може да не изпълнява проверки на състоянието на корпоративното устройство, но все пак може да дефинира минимални очаквания:
- текущи актуализации на операционната система;
- активирано заключване на екрана;
- няма споделено семейно или обществено устройство за администраторска работа;
- инсталиран мениджър на пароли;
- актуализиран браузър и работни приложения;
- известен процес на загубено устройство;
- личните устройства са премахнати от достъп, когато някой напусне.
Въпросът не е да претендирате за перфектна сигурност на устройството. Тя е да спре да третира „има паролата“ като единственото условие за достъп.
5. Използвайте VPN за пътищата, където помага
След като основите на самоличността и устройството са по-ясни, решете къде принадлежи VPN.
За много малки екипи VPN Unlimited by KeepSolid може да се побере като слой VPN в рутина за отдалечена работа, когато екипът се нуждае от защитен път на връзка. Околните правила все още имат значение: кой може да го използва, кои ресурси поддържа, кога трябва да бъде включен и какви други проверки са необходими.
Това е по-здравословен модел от „включете VPN и всичко е обработено.“
Практичен модел за достъп
Ето прост модел, който малките екипи могат да използват за сигурно планиране на отдалечен достъп:
- Потребителят влиза с индивидуален акаунт.
- За чувствителни ресурси се изисква многофакторно удостоверяване.
- Потребителят се свързва чрез VPN, когато работи от обществен Wi-Fi, мрежи за пътуване или дефинирани сценарии за отдалечен достъп.
- Чувствителните табла за управление са ограничени до одобрени потребители или роли.
- Административният достъп се преглежда по график.
- Напускащите служители и изпълнители се премахват от акаунти, достъп до VPN и списъци с разрешени.
- Инцидентите и подозрителните подкани за влизане се документират, вместо да се игнорират.
Този модел не е пълна Zero Trust архитектура. Това е управляем мост от „имаме VPN“ към „знаем кой какво може да достигне, при какви условия и защо“.
Често срещани грешки по време на миграция на Zero Trust
Третиране на Zero Trust като размяна на продукти
Zero Trust не е просто нов продукт за достъп. Рамката на зрялост на CISA третира миграцията като пътуване, което е полезно напомняне за по-малките екипи. Инструментите могат да помогнат, но работният модел е от значение: инвентар, идентичност, устройства, правила за достъп, видимост и текущ преглед.
Запазване на стари навици за споделен достъп
Споделените акаунти са удобни, докато някой не си тръгне, не бъде изгубено устройство или екипът трябва да разбере какво се е случило. Ако даден ресурс има значение, индивидуалният достъп трябва да е по подразбиране.
Даване на VPN твърде много власт
Връзката VPN не трябва автоматично да отключва всеки ресурс. Ако единственото правило е „свързан е равно на надежден“, екипът наистина не е променил своя модел на достъп.
Забравяне на изпълнителите
Изпълнителите често се нуждаят от бърз достъп за тясна работа. Това ги прави добър тест за по-добри правила: ограничени ресурси, ясни начални и крайни дати, посочен собственик и чисто премахване, когато работата приключи.
Правила за писане, които никой не може да следва
Малките екипи се нуждаят от скучни, повтарящи се навици. Ако процесът изисква специалист по сигурността за всяко решение за влизане, хората ще го заобикалят. Започнете с контролите, които всъщност можете да поддържате.
Прост контролен списък за малки екипи
Използвайте този контролен списък, преди да разширите отдалечения достъп:
– Ограничени ли са SaaS разрешените списъци, администраторските табла за управление и вътрешните инструменти до правилните хора?
- Знаем ли кои ресурси са чувствителни?
- Всеки човек ли използва индивидуален акаунт?
- Активирано ли е многофакторното удостоверяване там, където е най-важно?
- Знаем ли кои устройства са приемливи за администраторска работа?
- Изисква ли се използването на VPN за обществен Wi-Fi или дефинирани пътища за достъп?
- Изпълнителите имат ли начални дати, крайни дати и собственици на достъп?
- Бързо ли премахваме достъпа, когато някой си тръгне?
- Преглеждаме ли разрешенията поне от време на време?
- Знаем ли какво прави VPN и какво не прави?
Ако няколко отговора са „не“, следващата стъпка не е непременно по-голям инструмент. Може да има по-ясна собственост и по-малко ненужни разрешения.
ЧЗВ
VPN същото ли е като Zero Trust?
Не. VPN може да осигури шифрован път за връзка, но Zero Trust е по-широк подход за сигурност, фокусиран върху потребители, устройства, ресурси, политика и проверка. VPN може да бъде един слой в този подход, а не цялата система.
Трябва ли малките екипи да спрат да използват VPNs по време на миграция на Zero Trust?
Не автоматично. VPN все още може да поддържа дистанционна работа, обществена Wi-Fi защита, предсказуеми пътища за достъп и администраторски работни процеси. По-добрият ход е да се определи къде VPN помага и да се добавят контроли за самоличност, устройство и разрешения около него.
Коя е първата стъпка Zero Trust за малък екип?
Започнете с изброяване на чувствителни ресурси и кой има нужда от всеки от тях. След това премахнете споделения достъп, където е възможно, активирайте многофакторно удостоверяване за важни акаунти и стеснете разрешенията до нуждите на реалната работа.
Zero Trust изисква ли корпоративна инфраструктура?
Не в началото. Зрелите програми Zero Trust могат да станат сложни, но малките екипи могат да започнат с инвентаризация на ресурсите, индивидуални акаунти, многофакторно удостоверяване, очаквания за устройства, прегледи на достъпа и по-ясни правила за използване на VPN.
Може ли VPN да гарантира безопасен отдалечен достъп?
Не. VPN може да бъде полезна част от хигиената на отдалечения достъп, но не може да гарантира сигурност или да замени защитата на акаунта, актуализациите на устройствата, устойчивостта на фишинг, управлението на разрешенията, наблюдението или доброто излизане от борда.
Долната линия
Миграцията с нулево доверие не трябва да започва с изхвърляне на всеки познат инструмент. За малък екип по-полезната отправна точка е да се определи за какво отговаря всеки инструмент.
Използвайте VPN, където криптиран, предвидим път за отдалечен достъп помага. Добавете проверки на самоличността, така че достъпът да принадлежи на реални хора, а не на споделени идентификационни данни. Задайте очаквания за устройството. Тесни разрешения. Прегледайте кой може да достигне до чувствителни ресурси. Премахнете достъпа, когато работата приключи.
Ето как VPN може да се вмести в мисленето на Zero Trust, без да се преструва, че е цялата програма Zero Trust.