Mali timovi često se susreću s Zero Trust kroz neuredno, praktično pitanje: “Već koristimo VPN za rad na daljinu. Moramo li ga zamijeniti?”
Bolje pitanje obično je uže. Što bi VPN još trebao obrađivati i što bi se trebalo premjestiti u pravila identiteta, uređaja, pravila, nadzora i pristupa oko njega?
Tu počinje praktična Zero Trust migracija. Ne počinje sloganom ili golemom odlukom o platformi. Započinje tretiranjem svake udaljene veze kao zahtjeva koji treba kontekst: tko se povezuje, s kojeg uređaja, na koji resurs i za koju svrhu.
Što Zero Trust mijenja u vezi s daljinskim pristupom
NIST opisuje Zero Trust kao odmak od oslanjanja na statički perimetar mreže prema zaštiti korisnika, imovine i resursa. Jednostavnim engleskim jezikom, biti “na mreži” ne bi trebalo automatski značiti da osoba ili uređaj dobiva širok pristup.
Za mali tim ta je ideja važna jer se rad na daljinu više rijetko odvija iz jedne čiste uredske mreže. Ljudi se povezuju od kuće, hotela, coworking prostora, mobilnih žarišnih točaka, stranica klijenata i osobnih uređaja. Izvođači mogu trebati jednu nadzornu ploču, ali ne i ostatak okruženja tvrtke. Osnivač može trebati administratorsku ploču dok putuje. Suigraču iz podrške možda će trebati stabilan pristupni put, ali samo za ograničen skup alata.
To je pravi poslovni problem iza daljinskog pristupa bez povjerenja: tim treba korisnu daljinsku povezanost bez tretiranja svake uspješne veze kao širokog povjerenja.
Gdje VPN još uvijek odgovara
VPN još uvijek može biti koristan u ovom modelu. Može stvoriti šifrirani mrežni put, pomoći da pristupne rute budu predvidljivije i podržati tijekove rada gdje je stabilna izvorna IP adresa ili zaštićena veza dio radne rutine.
Na primjer, mali tim može koristiti VPN kada:
- pristup nadzornim pločama administratora s javnih ili zajedničkih mreža;
- povezivanje izvođača kroz definirani daljinski pristupni put;
- održavanje SaaS ponašanja popisa dopuštenih predvidljivijim;
- odvajanje radnog prometa od lokalne Wi-Fi izloženosti;
- smanjenje nasumičnog pristupa iz hotela, zračnih luka ili coworking prostora.
Važna je točka da vpn i nulto povjerenje ne bi trebali biti uokvireni kao izbor koji pobjednik uzima sve. VPN odgovara na jedan dio pitanja o pristupu: kako promet putuje između korisnika i resursa. Zero Trust razmišljanje postavlja dodatna pitanja prije i nakon što ta veza postoji.
Što se od VPN ne bi trebalo tražiti
Problemi počinju kada VPN postane jedina vrata.
Ako svi dijele istu vjerodajnicu, tim ne može lako reći tko se povezao. Ako svaki korisnik dođe do svakog internog resursa nakon povezivanja, put VPN je preširok. Ako uređaji nisu zakrpani, zaštićeni ili isključeni, veza može izgledati legitimno dok krajnja točka ostaje rizična. Ako nema pregleda tko treba pristup, stare dozvole se gomilaju.
VPN također ne zamjenjuje:
- višefaktorska autentifikacija;
- upravitelj lozinki i jedinstvene lozinke;
- ažuriranje uređaja i higijena krajnje točke;
- račun offboarding;
- dozvole temeljene na ulogama;
- svijest o krađi identiteta;
- praćenje i pregled dnevnika;
- jasna pravila za pristup izvođača i administratora.
Ovo ne čini VPNs zastarjelim. To znači da VPN treba imati definiran posao unutar šireg plana pristupa.
Mali tim Zero Trust Migracija bez pretjerane izgradnje
Velike organizacije mogu koristiti detaljne modele zrelosti i šire programe arhitekture sigurnog pristupa. Mali timovi mogu posuditi načela bez pretvaranja da imaju isto osoblje, proračun ili infrastrukturu.
Započnite s ovim koracima.
1. Navedite resurse do kojih ljudi zapravo dolaze
Zapišite sustave kojima udaljeni radnici, administratori, izvođači i osnivači pristupaju. Neka bude konkretno:
- nadzorne ploče administratora;
- repozitorije kodova ili scenska okruženja;
- financijski alati;
- sustavi korisničke podrške;
- sustavi za upravljanje sadržajem;
- zajednička pohrana u oblaku;
- interne aplikacije;
- SaaS računi s osjetljivim postavkama.
Nemojte počinjati s “mrežom” kao jednom velikom stvari. Počnite s resursima. Ovo odgovara ideji Zero Trust da bi se zaštita trebala usredotočiti na ono što ljudi pokušavaju koristiti, a ne samo na to odakle se povezuju.
2. Mapirajte tko treba svaki resurs
Zatim, pitajte tko doista treba pristup. Izvođač koji uređuje kopiju proizvoda možda neće trebati nadzornu ploču za naplatu. Suradnik iz podrške možda će trebati korisnički alat, ali ne i pristup registru domene. Razvojnom programeru možda će trebati probni pristup, ali ne svakoj produkcijskoj administratorskoj ploči.
Ovdje pristup s najmanjim privilegijama postaje praktičan. Cilj nije učiniti posao bolnim. Cilj je ukloniti dozvole koje nitko ne može braniti.
Za svaki resurs definirajte:
- vlasnik;
- odobreni korisnici ili uloge;
- razlog pristupa;
- uobičajeni način pristupa;
- raspored pregleda;
- offboard vlasnik.
Čak je i jednostavna proračunska tablica bolja od oslanjanja na memoriju.
3. Stavite provjere identiteta ispred osjetljivog pristupa
Zero Trust tretira identitet kao osnovni signal pristupa. Za mali tim, prvo poboljšanje često je osnovno, ali vrijedno: jedinstveni računi, provjera autentičnosti s više faktora i bez zajedničkih prijava za osjetljive alate.
Ako vjerodajnicu VPN dijeli cijeli tim, popravite taj obrazac prije dodavanja složenosti. Zajednički pristup otežava odlazak i slabi odgovornost. Dajte ljudima pojedinačne račune gdje god to alat dopušta, a metode oporavka držite pod kontrolom tvrtke.
4. Definirajte očekivanja od uređaja
Zero Trust također pita treba li uređaju vjerovati za traženi rad. Mali tim možda neće pokrenuti provjere stanja uređaja u tvrtki, ali ipak može definirati minimalna očekivanja:
- trenutna ažuriranja operativnog sustava;
- omogućeno zaključavanje zaslona;
- nema zajedničkog obiteljskog ili javnog uređaja za rad administratora;
- instaliran upravitelj lozinki;
- ažurirani preglednik i radne aplikacije;
- poznat proces izgubljenog uređaja;
- osobni uređaji uklonjeni iz pristupa kada netko ode.
Poanta nije tvrditi da je uređaj savršen. To je prestati tretirati “ima lozinku” kao jedini uvjet za pristup.
5. Koristite VPN za staze gdje pomaže
Nakon što su osnove identiteta i uređaja jasnije, odlučite gdje pripada VPN.
Za mnoge male timove, VPN Unlimited by KeepSolid može stati kao sloj VPN u rutini rada na daljinu kada tim treba zaštićeni put veze. Okolna pravila i dalje su važna: tko ga smije koristiti, koje resurse podržava, kada bi trebao biti uključen i koje su druge provjere potrebne.
To je zdraviji model od “uključite VPN i sve je riješeno.”
Praktičan obrazac pristupa
Evo jednostavnog uzorka koji mali timovi mogu koristiti za planiranje sigurnog daljinskog pristupa:
- Korisnik se prijavljuje s osobnim računom.
- Za osjetljive resurse potrebna je provjera autentičnosti s više faktora.
- Korisnik se povezuje putem VPN kada radi s javnog Wi-Fi-ja, putnih mreža ili definiranih scenarija daljinskog pristupa.
- Osjetljive nadzorne ploče ograničene su na odobrene korisnike ili uloge.
- Administratorski pristup se pregledava prema rasporedu.
- Odlazeći zaposlenici i izvođači uklanjaju se s računa, pristupa VPN i popisa dopuštenih.
- Incidenti i sumnjivi zahtjevi za prijavu dokumentiraju se umjesto da se ignoriraju.
Ovaj uzorak nije potpuna Zero Trust arhitektura. To je upravljiv most od “imamo VPN” do “znamo tko može što postići, iz kojih uvjeta i zašto.”
Uobičajene pogreške tijekom Zero Trust migracije
Tretiranje Zero Trust kao zamjene proizvoda
Zero Trust nije samo novi pristupni proizvod. Okvir zrelosti CISA tretira migraciju kao putovanje, što je koristan podsjetnik za manje timove. Alati mogu pomoći, ali operativni model je bitan: inventar, identitet, uređaji, politika pristupa, vidljivost i stalni pregled.
Zadržavanje starih navika zajedničkog pristupa
Zajednički računi su prikladni sve dok netko ne ode, dok se uređaj ne izgubi ili tim ne mora razumjeti što se dogodilo. Ako je resurs važan, pojedinačni pristup bi trebao biti zadani.
Davanje VPN previše ovlasti
Veza VPN ne bi trebala automatski otključati svaki resurs. Ako je jedino pravilo “povezano jednako pouzdano”, tim zapravo nije promijenio svoj model pristupa.
Zaboravljamo izvođače
Izvođači često trebaju brzi pristup za uzak posao. To ih čini dobrim testom za bolja pravila: ograničeni resursi, jasni datumi početka i završetka, imenovani vlasnik i čisto uklanjanje kada posao završi.
Pravila pisanja koje nitko ne može slijediti
Mali timovi trebaju dosadne navike koje se ponavljaju. Ako postupak zahtijeva sigurnosnog stručnjaka za svaku odluku o prijavi, ljudi će ga zaobići. Počnite s kontrolama koje zapravo možete održavati.
Jednostavan popis za male timove
Koristite ovaj kontrolni popis prije proširenja daljinskog pristupa:
- Znamo li koji su resursi osjetljivi?
- Koristi li svaka osoba osobni račun?
- Je li autentifikacija s više faktora omogućena tamo gdje je najvažnija?
- Znamo li koji su uređaji prihvatljivi za rad administratora?
- Je li korištenje VPN potrebno za javni Wi-Fi ili definirane pristupne staze?
- Jesu li SaaS popisi dopuštenih, administratorske nadzorne ploče i interni alati ograničeni na prave ljude?
- Imaju li izvođači datume početka, datume završetka i vlasnike pristupa?
- Uklanjamo li pristup brzo kada netko ode?
- Pregledavamo li dopuštenja barem povremeno?
- Znamo li što VPN radi, a što ne?
Ako je nekoliko odgovora “ne”, sljedeći korak nije nužno veći alat. To bi moglo biti jasnije vlasništvo i manje nepotrebnih dozvola.
FAQ
Je li VPN isto što i Zero Trust?
Ne. VPN može pružiti šifriranu stazu veze, ali Zero Trust je širi sigurnosni pristup usmjeren na korisnike, uređaje, resurse, pravila i provjeru. VPN može biti jedan sloj unutar tog pristupa, a ne cijeli sustav.
Trebaju li mali timovi prestati koristiti VPN tijekom migracije Zero Trust?
Ne automatski. VPN još uvijek može podržavati daljinski rad, javnu Wi-Fi zaštitu, predvidljive pristupne putove i tijekove rada administratora. Bolji potez je definirati gdje VPN pomaže i oko njega dodati kontrole identiteta, uređaja i dopuštenja.
Koji je prvi Zero Trust korak za mali tim?
Započnite popisom osjetljivih resursa i tko treba svaki od njih. Zatim uklonite zajednički pristup gdje je to moguće, omogućite provjeru autentičnosti s više faktora za važne račune i suzite dopuštenja na stvarne potrebe posla.
Zahtijeva li Zero Trust infrastrukturu poduzeća?
Ne na početku. Razvijeni Zero Trust programi mogu postati složeni, ali mali timovi mogu započeti s inventarom resursa, pojedinačnim računima, provjerom autentičnosti s više faktora, očekivanjima uređaja, pregledima pristupa i jasnijim pravilima korištenja VPN.
Može li VPN jamčiti siguran udaljeni pristup?
Ne. VPN može biti koristan dio higijene daljinskog pristupa, ali ne može jamčiti sigurnost ili zamijeniti zaštitu računa, ažuriranja uređaja, otpornost na krađu identiteta, upravljanje dopuštenjima, nadzor ili dobro uklanjanje.
Suština
Migracija bez povjerenja ne mora započeti odbacivanjem svih poznatih alata. Za mali tim, korisnija početna točka je definiranje za što je svaki alat odgovoran.
Upotrijebite VPN gdje šifrirani, predvidljivi put daljinskog pristupa pomaže. Dodajte provjere identiteta tako da pristup pripada stvarnim osobama, a ne dijeljenim vjerodajnicama. Postavite očekivanja od uređaja. Uska dopuštenja. Pregledajte tko može doći do osjetljivih resursa. Uklonite pristup kada posao završi.
Tako se VPN može uklopiti u razmišljanje Zero Trust bez pretvaranja da je cijeli program Zero Trust.