Pienet tiimit kohtaavat usein Zero Trust sotkuisen, käytännöllisen kysymyksen kautta: ”Käytämme jo etätyössä termiä VPN. Pitääkö se vaihtaa?”
Parempi kysymys on yleensä kapeampi. Mitä VPN:n tulisi edelleen käsitellä, ja mitä sen ympärillä oleviin identiteetti-, laite-, käytäntö-, valvonta- ja käyttösääntöihin pitäisi siirtyä?
Siitä alkaa käytännöllinen Zero Trust-siirto. Se ei ala iskulauseella tai jättimäisellä alustapäätöksellä. Se alkaa käsittelemällä jokaista etäyhteyttä pyyntönä, joka tarvitsee kontekstin: kuka muodostaa yhteyden, mistä laitteesta, mihin resurssiin ja mihin tarkoitukseen.
Mitä Zero Trust muuttaa etäkäytössä
NIST kuvailee termiä Zero Trust siirtymäksi staattiseen verkon kehään luottamisesta käyttäjien, omaisuuden ja resurssien suojaamiseen. Selkeästi englanniksi ”verkossa” olemisen ei pitäisi automaattisesti tarkoittaa, että henkilö tai laite saa laajan pääsyn.
Pienelle tiimille ajatus on tärkeä, koska etätyötä tapahtuu harvoin enää yhdestä puhtaasta toimistoverkosta. Ihmiset muodostavat yhteyden kotoa, hotelleista, työskentelytiloista, mobiilihotspoteista, asiakassivustoista ja henkilökohtaisista laitteista. Urakoitsijat saattavat tarvita yhden kojelaudan, mutta eivät muuta yritysympäristöä. Perustaja saattaa tarvita hallintapaneelin matkoilla. Tukiryhmätoveri saattaa tarvita vakaan pääsypolun, mutta vain rajoitetulle työkalujoukolle.
Tämä on todellinen liiketoimintaongelma nollaluottamuksen etäkäytön takana: tiimi tarvitsee hyödyllistä etäyhteyttä ilman, että jokaista onnistunutta yhteyttä kohdellaan laajana luottamuksena.
Mihin VPN silti sopii
VPN voi silti olla hyödyllinen tässä mallissa. Se voi luoda salatun verkkopolun, auttaa tekemään pääsyreiteistä ennakoitavampia ja tukea työnkulkuja, joissa vakaa lähde-IP tai suojattu yhteys on osa toimintarutiinia.
Esimerkiksi pieni tiimi saattaa käyttää termiä VPN, kun:
- Pääsy järjestelmänvalvojan kojetauluihin julkisista tai jaetuista verkoista;
- sopimuspuolten yhdistäminen määritellyn etäkäyttöpolun kautta;
- pitää SaaS sallittujen luettelon käyttäytyminen ennakoitavampana;
- työliikenteen erottaminen paikallisesta Wi-Fi-altistumisesta;
- vähentää satunnaista pääsyä hotelleista, lentokentistä tai työskentelytiloista.
Tärkeä asia on, että vpn:tä ja nolla luottamusta ei pidä muodostaa voittaja vie kaiken -valinnan. VPN vastaa yhteen osaan käyttöoikeuskysymyksestä: kuinka liikenne kulkee käyttäjän ja resurssin välillä. Zero Trust ajattelu kysyy lisäkysymyksiä ennen ja jälkeen yhteyden olemassaolon.
Mitä VPN ei pitäisi pyytää tekemään
Ongelmat alkavat, kun VPN tulee ainoaksi portiksi.
Jos kaikki jakavat yhden tunnuksen, tiimi ei voi helposti tietää, kuka on yhteydessä. Jos jokainen käyttäjä saavuttaa kaikki sisäiset resurssit yhteyden muodostamisen jälkeen, polku VPN on liian leveä. Jos laitteita ei ole korjattu, suojattu tai irrotettu, yhteys voi näyttää aidolta, mutta päätepiste pysyy vaarallisena. Jos pääsyä tarvitsevia henkilöitä ei tarkisteta, vanhat käyttöoikeudet kasaantuvat.
VPN ei myöskään korvaa:
- monitekijätodennus;
- salasanojen hallinta ja ainutlaatuiset salasanat;
- laitepäivitykset ja päätepisteiden hygienia;
- tilin poisto;
- roolipohjaiset käyttöoikeudet;
- tietojenkalastelutietoisuus;
- seuranta ja lokien tarkistus;
- selkeät säännöt urakoitsijan ja järjestelmänvalvojan pääsylle.
Tämä ei tee termistä VPN vanhentunutta. Se tarkoittaa, että termillä VPN tulisi olla määritelty työ laajemmassa käyttöoikeussuunnitelmassa.
Pieni tiimi Zero Trust Siirtyminen ilman ylirakennusta
Suuret organisaatiot voivat käyttää yksityiskohtaisia kypsyysmalleja ja laajempia suojatun pääsyn arkkitehtuuriohjelmia. Pienet tiimit voivat lainata periaatteet ilman, että heillä on sama henkilökunta, budjetti tai infrastruktuuri.
Aloita näillä vaiheilla.
1. Listaa resurssit, joita ihmiset todella saavuttavat
Kirjoita muistiin järjestelmät, joihin etätyöntekijät, järjestelmänvalvojat, urakoitsijat ja perustajat pääsevät. Pidä se konkreettisesti:
- järjestelmänvalvojan kojelaudat;
- koodivarastot tai vaiheistusympäristöt;
- rahoitusvälineet;
- asiakastukijärjestelmät;
- sisällönhallintajärjestelmät;
- jaettu pilvitallennustila;
- sisäiset sovellukset;
- SaaS tilit arkaluontoisilla asetuksilla.
Älä aloita ”verkostolla” yhtenä suurena asiana. Aloita resursseista. Tämä vastaa Zero Trust ajatusta, jonka mukaan suojauksen tulisi keskittyä siihen, mitä ihmiset yrittävät käyttää, ei vain siihen, mistä he muodostavat yhteyden.
2. Kartta, kuka tarvitsee kunkin resurssin
Kysy seuraavaksi, kuka todella tarvitsee pääsyn. Tuotekopiota muokkaava urakoitsija ei välttämättä tarvitse laskutuksen hallintapaneelia. Tukiryhmätoveri saattaa tarvita asiakastyökalun, mutta ei verkkotunnuksen rekisteröijän käyttöoikeutta. Kehittäjä saattaa tarvita vaiheittaisen käyttöoikeuden, mutta ei kaikki tuotannon hallintapaneelit.
Täällä vähiten etuoikeuksista tulee käytännöllinen. Tavoitteena ei ole tehdä työstä tuskallista. Tavoitteena on poistaa luvat, joita kukaan ei voi puolustaa.
Määritä jokaiselle resurssille:
- omistaja;
- hyväksytyt käyttäjät tai roolit;
- pääsyn syy;
- normaali pääsytapa;
- tarkasteluaikataulu;
- offboard-omistaja.
Jopa yksinkertainen laskentataulukko on parempi kuin muistiin luottaminen.
3. Aseta henkilöllisyystarkistukset ennen arkaluonteista pääsyä
Zero Trust käsittelee identiteettiä ytimen pääsysignaalina. Pienelle tiimille ensimmäinen parannus on usein perus, mutta arvokas: yksilölliset tilit, monivaiheinen todennus ja ei jaettuja kirjautumistunnuksia arkaluonteisille työkaluille.
Jos koko tiimi jakaa VPN-tunnistetiedot, korjaa malli ennen monimutkaisuuden lisäämistä. Jaettu käyttöoikeus tekee offboardista vaikeampaa ja heikentää vastuullisuutta. Anna ihmisille yksilölliset tilit aina, kun työkalu sen sallii, ja pidä palautusmenetelmät yrityksen hallinnassa.
4. Määritä laitteen odotukset
Zero Trust kysyy myös, pitäisikö laitteeseen luottaa pyydetyssä työssä. Pieni tiimi ei välttämättä suorita yrityksen laitteiden asennontarkastuksia, mutta se voi silti määrittää vähimmäisodotukset:
- nykyiset käyttöjärjestelmän päivitykset;
- näytön lukitus käytössä;
- ei jaettua perhettä tai julkista laitetta järjestelmänvalvojan työhön;
- salasananhallinta asennettuna;
- selain ja työsovellukset päivitetty;
- kadonneen laitteen prosessi tunnetaan;
- henkilökohtaiset laitteet poistetaan käytöstä, kun joku lähtee.
Tarkoitus ei ole vaatia täydellistä laitteen turvallisuutta. Se on lopettaa pitäminen ”on salasana” ainoana pääsyn ehtona.
5. Käytä termiä VPN poluille, joissa se auttaa
Kun identiteetti ja laitteen perusteet ovat selvempiä, päätä, mihin VPN kuuluu.
Monille pienille ryhmille VPN Unlimited by KeepSolid voi sopia VPN-tasoksi etätyörutiinissa, kun ryhmä tarvitsee suojatun yhteyspolun. Ympäröivät säännöt ovat edelleen tärkeitä: kuka saa käyttää sitä, mitä resursseja se tukee, milloin sen pitäisi olla päällä ja mitä muita tarkistuksia tarvitaan.
Se on terveellisempi malli kuin ”käynnistä VPN ja kaikki on hoidettu.”
Käytännöllinen pääsymalli
Tässä on yksinkertainen malli, jota pienet tiimit voivat käyttää turvallisen etäkäytön suunnitteluun:
- Käyttäjä kirjautuu sisään henkilökohtaisella tilillä.
- Arkaluontoiset resurssit edellyttävät monivaiheista todennusta.
- Käyttäjä muodostaa yhteyden termin VPN kautta, kun hän työskentelee julkisista Wi-Fi-verkoista, matkaverkoista tai määritellyistä etäkäyttöskenaarioista.
- Arkaluonteiset hallintapaneelit on rajoitettu hyväksyttyihin käyttäjiin tai rooleihin.
- Järjestelmänvalvojan käyttöoikeudet tarkistetaan aikataulun mukaisesti.
- Lähtevät työntekijät ja urakoitsijat poistetaan tileiltä, VPN -käyttöoikeuksista ja sallittujen luetteloista.
- Tapahtumat ja epäilyttävät kirjautumiskehotteet dokumentoidaan sen sijaan, että niitä jätettäisiin huomiotta.
Tämä malli ei ole täydellinen Zero Trust -arkkitehtuuri. Se on hallittavissa oleva silta ”meillä on VPN” ja ”me tiedämme kuka voi saavuttaa mitä, mistä ehdoista ja miksi”.
Yleisiä virheitä Zero Trust Siirron aikana
Käsitellään Zero Trust tuotteen vaihtona
Zero Trust ei ole vain uusi pääsytuote. CISA:n kypsyyskehys käsittelee siirtoa matkana, mikä on hyödyllinen muistutus pienemmille tiimeille. Työkalut voivat auttaa, mutta toimintamallilla on väliä: varasto, identiteetti, laitteet, käyttöoikeuskäytäntö, näkyvyys ja jatkuva tarkistus.
Vanhojen yhteiskäyttötottumusten säilyttäminen
Jaetut tilit ovat käteviä, kunnes joku lähtee, laite katoaa tai tiimin on ymmärrettävä, mitä tapahtui. Jos resurssilla on merkitystä, yksilöllisen pääsyn tulisi olla oletusarvo.
Liian suuren vallan antaminen termille VPN
VPN-yhteyden ei pitäisi automaattisesti avata jokaisen resurssin lukitusta. Jos ainoa sääntö on ”yhdistetty on luotettu”, tiimi ei ole oikeastaan muuttanut pääsymalliaan.
Urakoitsijoiden unohtaminen
Urakoitsijat tarvitsevat usein nopean pääsyn kapeisiin töihin. Tämä tekee niistä hyvän testitapauksen paremmille säännöille: rajalliset resurssit, selkeät aloitus- ja lopetuspäivät, nimetty omistaja ja puhdas poisto työn päätyttyä.
Kirjoitussääntöjä ei kukaan voi noudattaa
Pienet joukkueet tarvitsevat tylsiä, toistettavia tapoja. Jos prosessi vaatii tietoturvaasiantuntijan jokaiseen kirjautumispäätökseen, ihmiset reitittävät sen ympäri. Aloita säätimistä, joita voit todella ylläpitää.
Yksinkertainen tarkistuslista pienille ryhmille
Käytä tätä tarkistuslistaa ennen etäkäytön laajentamista:
- Tiedämmekö, mitkä resurssit ovat herkkiä?
- Käyttääkö jokainen henkilökohtaista tiliä?
- Onko monitekijätodennus käytössä siellä, missä sillä on eniten merkitystä?
- Tiedämmekö, mitkä laitteet hyväksytään järjestelmänvalvojan työhön?
- Vaaditaanko VPN käyttöä julkisissa Wi-Fi-verkoissa tai määritetyissä yhteyspoluissa?
- Onko SaaS sallittujen luettelot, järjestelmänvalvojan hallintapaneelit ja sisäiset työkalut rajoitettu oikeille henkilöille?
- Onko urakoitsijoilla aloitus-, päättymispäivämäärät ja käyttöoikeuksien omistajat?
- Poistammeko pääsyn nopeasti, kun joku lähtee?
- Tarkistammeko luvat ainakin satunnaisesti?
- Tiedämmekö mitä VPN tekee ja mitä se ei tee?
Jos useat vastaukset ovat ”ei”, seuraava vaihe ei välttämättä ole suurempi työkalu. Se voi olla selkeämpi omistajuus ja vähemmän tarpeettomia käyttöoikeuksia.
UKK
Onko VPN sama kuin Zero Trust?
Ei. VPN voi tarjota salatun yhteyspolun, mutta Zero Trust on laajempi suojausmenetelmä, joka keskittyy käyttäjiin, laitteisiin, resursseihin, käytäntöihin ja vahvistukseen. VPN voi olla yksi kerros tämän lähestymistavan sisällä, ei koko järjestelmää.
Pitäisikö pienten tiimien lopettaa termien VPN käyttö Zero Trust-siirron aikana?
Ei automaattisesti. VPN voi silti tukea etätyötä, julkista Wi-Fi-suojausta, ennakoitavia käyttöpolkuja ja järjestelmänvalvojan työnkulkuja. Parempi vaihtoehto on määrittää, missä VPN auttaa, ja lisätä sen ympärille identiteetti-, laite- ja käyttöoikeussäätimet.
Mikä on ensimmäinen Zero Trust askel pienelle tiimille?
Aloita luetteloimalla arkaluontoiset resurssit ja kuka niitä tarvitsee. Poista sitten jaettu käyttöoikeus mahdollisuuksien mukaan, ota monivaiheinen todennus käyttöön tärkeille tileille ja rajaa käyttöoikeudet todellisiin työtarpeisiin.
Vaatiiko Zero Trust yritysinfrastruktuuria?
Ei alussa. Kypsistä Zero Trust-ohjelmista voi tulla monimutkaisia, mutta pienet tiimit voivat aloittaa resurssien inventaariosta, yksittäisistä tileistä, monitekijätodennuksen, laiteodotuksista, käyttötarkastuksista ja selkeämmistä VPN-käyttösäännöistä.
Voiko VPN taata turvallisen etäkäytön?
Ei. VPN voi olla hyödyllinen osa etäkäyttöhygieniaa, mutta se ei voi taata turvallisuutta tai korvata tilin suojaa, laitepäivityksiä, tietojenkalasteluvastusta, käyttöoikeuksien hallintaa, valvontaa tai hyvää offboard-käyttöä.
Bottom Line
Nollaluottamuksen siirtymisen ei tarvitse alkaa heittämällä pois jokaista tuttua työkalua. Pienelle tiimille hyödyllisempi lähtökohta on määritellä, mistä kukin työkalu on vastuussa.
Käytä termiä VPN, jossa salattu, ennustettava etäkäyttöpolku auttaa. Lisää henkilöllisyyden tarkistuksia, jotta käyttöoikeus kuuluu oikeille ihmisille, ei jaetuille tunnistetiedoille. Aseta laitteen odotukset. Kapeat käyttöoikeudet. Tarkista, kuka voi tavoittaa arkaluonteisia resursseja. Poista käyttöoikeus, kun työ päättyy.
Näin VPN voi sopia Zero Trust-ajatteluun esittämättä olevansa koko Zero Trust-ohjelma.