लहान संघ बऱ्याचदा गोंधळलेल्या, व्यावहारिक प्रश्नाद्वारे Zero Trust ला भेटतात: “आम्ही आधीच दूरस्थ कामासाठी VPN वापरतो. आम्हाला ते बदलायचे आहे का?”
चांगला प्रश्न सहसा अरुंद असतो. VPN ने अद्याप काय हाताळले पाहिजे आणि ओळख, डिव्हाइस, धोरण, निरीक्षण आणि त्याच्या सभोवतालच्या प्रवेश नियमांमध्ये काय बदलले पाहिजे?
तेथूनच व्यावहारिक Zero Trust स्थलांतर सुरू होते. त्याची सुरुवात घोषणाबाजी किंवा महाकाय व्यासपीठाच्या निर्णयाने होत नाही. हे प्रत्येक रिमोट कनेक्शनला संदर्भ आवश्यक असलेली विनंती म्हणून हाताळून सुरू होते: कोण कनेक्ट करत आहे, कोणत्या डिव्हाइसवरून, कोणत्या स्त्रोताशी आणि कोणत्या हेतूसाठी.
Zero Trust रिमोट ऍक्सेसबद्दल काय बदलते
NIST Zero Trust चे वर्णन स्थिर नेटवर्क परिमितीवर अवलंबून राहण्यापासून आणि वापरकर्ते, मालमत्ता आणि संसाधनांचे संरक्षण करण्यापासून दूर एक शिफ्ट म्हणून करते. साध्या इंग्रजीत, “नेटवर्कवर” असण्याचा अर्थ एखाद्या व्यक्तीला किंवा डिव्हाइसला व्यापक प्रवेश मिळतो असा आपोआप होऊ नये.
एका लहान संघासाठी, ही कल्पना महत्त्वाची आहे कारण दूरस्थ काम आता एका स्वच्छ ऑफिस नेटवर्कवरून क्वचितच घडते. लोक घर, हॉटेल्स, सहकार्याची जागा, मोबाइल हॉटस्पॉट्स, क्लायंट साइट्स आणि वैयक्तिक डिव्हाइसेसवरून कनेक्ट होतात. कंत्राटदारांना एका डॅशबोर्डची आवश्यकता असू शकते परंतु कंपनीच्या उर्वरित वातावरणाची गरज नाही. प्रवास करताना एखाद्या संस्थापकाला प्रशासक पॅनेलची आवश्यकता असू शकते. सपोर्ट टीममेटला एक स्थिर प्रवेश मार्ग आवश्यक असू शकतो, परंतु केवळ मर्यादित टूलसेटसाठी.
शून्य विश्वास दूरस्थ प्रवेशामागील खरी व्यावसायिक समस्या आहे: प्रत्येक यशस्वी कनेक्शनला व्यापक विश्वास म्हणून न मानता संघाला उपयुक्त रिमोट कनेक्टिव्हिटीची आवश्यकता आहे.
जिथे VPN अजूनही बसते
एक VPN अजूनही या मॉडेलमध्ये उपयुक्त असू शकते. हे एक एनक्रिप्टेड नेटवर्क मार्ग तयार करू शकते, प्रवेश मार्ग अधिक अंदाज करण्यायोग्य बनविण्यात मदत करू शकते आणि वर्कफ्लोला समर्थन देऊ शकते जेथे स्थिर स्त्रोत IP किंवा संरक्षित कनेक्शन ऑपरेटिंग दिनचर्याचा भाग आहे.
उदाहरणार्थ, एक लहान संघ VPN वापरू शकतो जेव्हा:
- सार्वजनिक किंवा सामायिक नेटवर्कवरून प्रशासक डॅशबोर्डवर प्रवेश करणे;
- परिभाषित रिमोट-ऍक्सेस मार्गाद्वारे कंत्राटदारांना जोडणे;
- SaaS अनुमत वर्तन अधिक अंदाजे ठेवणे;
- कामाच्या रहदारीला स्थानिक वाय-फाय एक्सपोजरपासून वेगळे करणे;
- हॉटेल्स, विमानतळे किंवा सहकाऱ्यांच्या जागांमधून प्रवेशाची यादृच्छिकता कमी करणे.
महत्त्वाचा मुद्दा असा आहे की व्हीपीएन आणि झिरो ट्रस्टला विजेते-घेणारे-सर्व पर्याय म्हणून तयार केले जाऊ नये. A VPN प्रवेश प्रश्नाच्या एका भागाचे उत्तर देते: वापरकर्ता आणि संसाधन यांच्यामध्ये रहदारी कशी प्रवास करते. Zero Trust विचार त्या कनेक्शनच्या आधी आणि नंतर अतिरिक्त प्रश्न विचारतो.
काय VPN करण्यास सांगितले जाऊ नये
जेव्हा VPN हा एकमेव गेट बनतो तेव्हा समस्या सुरू होतात.
प्रत्येकाने एक क्रेडेन्शिअल शेअर केल्यास, कोण कनेक्ट झाले हे टीम सहज सांगू शकत नाही. कनेक्ट केल्यानंतर प्रत्येक वापरकर्त्याने प्रत्येक अंतर्गत संसाधनापर्यंत पोहोचल्यास, VPN मार्ग खूप विस्तृत आहे. डिव्हाइस पॅच केलेले, संरक्षित किंवा ऑफबोर्ड केलेले नसल्यास, एंडपॉइंट धोकादायक असताना कनेक्शन कायदेशीर दिसू शकते. कोणाला प्रवेश हवा आहे याचे कोणतेही पुनरावलोकन नसल्यास, जुन्या परवानग्या जमा होतात.
A VPN देखील बदलत नाही:
- बहु-घटक प्रमाणीकरण;
- पासवर्ड व्यवस्थापक आणि अद्वितीय पासवर्ड;
- डिव्हाइस अद्यतने आणि अंतिम बिंदू स्वच्छता;
- खाते ऑफबोर्डिंग;
- भूमिका-आधारित परवानग्या;
- फिशिंग जागरूकता;
- निरीक्षण आणि लॉग पुनरावलोकन;
- कंत्राटदार आणि प्रशासक प्रवेशासाठी स्पष्ट नियम.
यामुळे VPN अप्रचलित होत नाही. याचा अर्थ VPN मध्ये विस्तृत प्रवेश योजनेमध्ये एक परिभाषित कार्य असावे.
एक लहान-संघ Zero Trust ओव्हरबिल्डिंगशिवाय स्थलांतर
मोठ्या संस्था तपशीलवार परिपक्वता मॉडेल आणि व्यापक सुरक्षित-प्रवेश आर्किटेक्चर प्रोग्राम वापरू शकतात. लहान संघ त्यांच्याकडे समान कर्मचारी, बजेट किंवा पायाभूत सुविधा असल्याची बतावणी न करता तत्त्वे उधार घेऊ शकतात.
या चरणांसह प्रारंभ करा.
1. लोक प्रत्यक्षात पोहोचलेल्या संसाधनांची यादी करा
दूरस्थ कामगार, प्रशासक, कंत्राटदार आणि संस्थापक ज्या सिस्टममध्ये प्रवेश करतात ते लिहा. ते ठोस ठेवा:
- प्रशासक डॅशबोर्ड;
- कोड रेपॉजिटरीज किंवा स्टेजिंग वातावरण;
- वित्त साधने;
- ग्राहक समर्थन प्रणाली;
- सामग्री व्यवस्थापन प्रणाली;
- सामायिक क्लाउड स्टोरेज;
- अंतर्गत ॲप्स;
- SaaS संवेदनशील सेटिंग्ज असलेली खाती.
एक मोठी गोष्ट म्हणून “नेटवर्क” ने सुरुवात करू नका. संसाधनांसह प्रारंभ करा. हे Zero Trust कल्पनेशी जुळते की लोक काय वापरण्याचा प्रयत्न करीत आहेत यावर संरक्षणाने लक्ष केंद्रित केले पाहिजे, फक्त ते कुठून कनेक्ट झाले नाहीत.
2. प्रत्येक संसाधनाची आवश्यकता असलेला नकाशा
पुढे, कोणाला खरोखर प्रवेश हवा आहे ते विचारा. उत्पादन प्रत संपादित करणाऱ्या कंत्राटदाराला बिलिंग डॅशबोर्डची आवश्यकता नसते. सपोर्ट टीममेटला ग्राहक टूलची आवश्यकता असू शकते परंतु डोमेन रजिस्ट्रार ऍक्सेस नाही. डेव्हलपरला स्टेजिंग ऍक्सेसची आवश्यकता असू शकते परंतु प्रत्येक प्रोडक्शन ऍडमिन पॅनेलची नाही.
येथेच किमान विशेषाधिकार प्रवेश व्यावहारिक बनतो. काम कष्टदायक बनवणे हे ध्येय नाही. कोणीही बचाव करू शकत नाही अशा परवानग्या काढून टाकणे हे ध्येय आहे.
प्रत्येक संसाधनासाठी, परिभाषित करा:
- मालक;
- मंजूर वापरकर्ते किंवा भूमिका;
- प्रवेश कारण;
- सामान्य प्रवेश पद्धत;
- पुनरावलोकन वेळापत्रक;
- ऑफबोर्डिंग मालक.
साधी स्प्रेडशीट देखील मेमरीवर अवलंबून राहण्यापेक्षा चांगली आहे.
3. संवेदनशील प्रवेशापूर्वी ओळख तपासा
Zero Trust ओळख एक कोर ऍक्सेस सिग्नल मानते. एका लहान संघासाठी, पहिली सुधारणा अनेकदा मूलभूत परंतु मौल्यवान असते: अद्वितीय खाती, बहु-घटक प्रमाणीकरण आणि संवेदनशील साधनांसाठी कोणतेही सामायिक लॉगिन नाही.
जर VPN क्रेडेन्शियल संपूर्ण टीमने शेअर केले असेल, तर जटिलता जोडण्यापूर्वी तो पॅटर्न निश्चित करा. सामायिक प्रवेशामुळे ऑफबोर्डिंग कठीण होते आणि जबाबदारी कमकुवत होते. जेथे साधन परवानगी देते तेथे लोकांना वैयक्तिक खाती द्या आणि पुनर्प्राप्ती पद्धती कंपनीच्या नियंत्रणाखाली ठेवा.
4. डिव्हाइस अपेक्षा परिभाषित करा
Zero Trust विनंती केलेल्या कामासाठी डिव्हाइसवर विश्वास ठेवला पाहिजे की नाही हे देखील विचारते. एक लहान संघ एंटरप्राइझ डिव्हाइस पवित्रा तपासणी चालवू शकत नाही, परंतु तरीही ते किमान अपेक्षा परिभाषित करू शकते:
- वर्तमान ऑपरेटिंग-सिस्टम अद्यतने;
- स्क्रीन लॉक सक्षम;
- प्रशासकीय कार्यासाठी कोणतेही सामायिक कुटुंब किंवा सार्वजनिक डिव्हाइस नाही;
- पासवर्ड व्यवस्थापक स्थापित;
- ब्राउझर आणि कार्य ॲप्स अद्यतनित केले;
- गमावलेली डिव्हाइस प्रक्रिया ज्ञात आहे;
- कोणीतरी बाहेर गेल्यावर वैयक्तिक उपकरणे प्रवेशातून काढून टाकली जातात.
मुद्दा परिपूर्ण डिव्हाइस सुरक्षिततेचा दावा करण्याचा नाही. प्रवेशासाठी “पासवर्ड आहे” ही एकमेव अट मानणे थांबवणे आहे.
५. VPN वापरा ज्या मार्गांसाठी ते मदत करते
एकदा ओळख आणि डिव्हाइस मूलभूत गोष्टी स्पष्ट झाल्यावर, VPN कुठे आहे ते ठरवा.
अनेक लहान संघांसाठी, जेव्हा संघाला संरक्षित कनेक्शन मार्गाची आवश्यकता असते तेव्हा VPN Unlimited by KeepSolid रिमोट-वर्क रूटीनमध्ये VPN स्तर म्हणून बसू शकते. आजूबाजूचे नियम अजूनही महत्त्वाचे आहेत: ते कोण वापरू शकते, ते कोणत्या संसाधनांना समर्थन देते, ते कधी चालू असावे आणि इतर कोणत्या तपासण्या आवश्यक आहेत.
“VPN चालू करा आणि सर्वकाही हाताळले जाईल” पेक्षा ते एक आरोग्यदायी मॉडेल आहे.
एक व्यावहारिक प्रवेश नमुना
सुरक्षित रिमोट ऍक्सेस प्लॅनिंगसाठी लहान संघ वापरू शकतात असा साधा नमुना येथे आहे:
- वापरकर्ता वैयक्तिक खात्याने साइन इन करतो.
- संवेदनशील संसाधनांसाठी बहु-घटक प्रमाणीकरण आवश्यक आहे.
- सार्वजनिक वाय-फाय, ट्रॅव्हल नेटवर्क किंवा परिभाषित रिमोट-ऍक्सेस परिस्थितींवरून काम करताना वापरकर्ता VPN द्वारे कनेक्ट होतो.
- संवेदनशील डॅशबोर्ड मंजूर वापरकर्ते किंवा भूमिकांपुरते मर्यादित आहेत.
- प्रशासकीय प्रवेशाचे वेळापत्रकानुसार पुनरावलोकन केले जाते.
- निर्गमन करणारे कर्मचारी आणि कंत्राटदारांना खाती, VPN प्रवेश आणि अनुमत सूचीमधून काढून टाकले जाते.
- घटना आणि संशयास्पद लॉगिन सूचना दुर्लक्षित करण्याऐवजी दस्तऐवजीकरण केल्या जातात.
हा नमुना पूर्ण Zero Trust आर्किटेक्चर नाही. “आमच्याकडे एक VPN आहे” पासून “कोण कशापर्यंत, कोणत्या परिस्थितीत आणि का पोहोचू शकते हे आम्हाला माहित आहे.”
Zero Trust स्थलांतर दरम्यान सामान्य चुका
उत्पादन स्वॅप म्हणून Zero Trust हाताळणे
Zero Trust हे केवळ नवीन प्रवेश उत्पादन नाही. CISA चे मॅच्युरिटी फ्रेमिंग स्थलांतराला प्रवास मानते, जे लहान संघांसाठी उपयुक्त स्मरणपत्र आहे. साधने मदत करू शकतात, परंतु ऑपरेटिंग मॉडेल महत्त्वाचे आहेत: इन्व्हेंटरी, ओळख, उपकरणे, प्रवेश धोरण, दृश्यमानता आणि चालू पुनरावलोकन.
जुन्या सामायिक प्रवेशाच्या सवयी ठेवणे
कोणीतरी निघून जाईपर्यंत, एखादे डिव्हाइस हरवले किंवा संघाला काय झाले हे समजणे आवश्यक होईपर्यंत सामायिक केलेली खाती सोयीस्कर असतात. संसाधन महत्त्वाचे असल्यास, वैयक्तिक प्रवेश डीफॉल्ट असावा.
VPN ला खूप अधिकार देणे
VPN कनेक्शनने प्रत्येक संसाधन आपोआप अनलॉक करू नये. “कनेक्टेड इक्वल्स ट्रस्टेड” हा एकमेव नियम असल्यास, संघाने त्याचे प्रवेश मॉडेल खरोखर बदललेले नाही.
ठेकेदारांना विसरले
अरुंद कामासाठी कंत्राटदारांना अनेकदा जलद प्रवेश आवश्यक असतो. हे त्यांना चांगल्या नियमांसाठी एक चांगली चाचणी केस बनवते: मर्यादित संसाधने, स्पष्ट प्रारंभ आणि समाप्ती तारखा, नावाचे मालक आणि काम संपल्यावर साफ काढून टाकणे.
लेखनाचे नियम कोणीही पाळू शकत नाही
लहान संघांना कंटाळवाणे, पुनरावृत्ती करण्यायोग्य सवयी आवश्यक आहेत. प्रक्रियेसाठी प्रत्येक लॉगिन निर्णयासाठी सुरक्षा तज्ञाची आवश्यकता असल्यास, लोक त्याभोवती मार्ग काढतील. तुम्ही प्रत्यक्षात देखरेख करू शकता अशा नियंत्रणांसह सुरुवात करा.
लहान संघांसाठी एक साधी चेकलिस्ट
दूरस्थ प्रवेशाचा विस्तार करण्यापूर्वी ही चेकलिस्ट वापरा:
- आम्हाला माहित आहे की कोणती संसाधने संवेदनशील आहेत?
- प्रत्येक व्यक्ती वैयक्तिक खाते वापरते का?
- जेथे सर्वात महत्त्वाचे आहे तेथे बहु-घटक प्रमाणीकरण सक्षम केले आहे का?
- प्रशासनाच्या कामासाठी कोणती उपकरणे स्वीकार्य आहेत हे आम्हाला माहीत आहे का?
- सार्वजनिक वाय-फाय किंवा परिभाषित प्रवेश पथांसाठी VPN वापर आवश्यक आहे का?
- SaaS अनुमत सूची, प्रशासक डॅशबोर्ड आणि अंतर्गत साधने योग्य लोकांपर्यंत मर्यादित आहेत का?
- कंत्राटदारांकडे प्रारंभ तारखा, समाप्ती तारखा आणि प्रवेश मालक आहेत का?
- कोणीतरी निघून गेल्यावर आम्ही त्वरीत प्रवेश काढून टाकतो का?
- आम्ही किमान अधूनमधून परवानग्यांचे पुनरावलोकन करतो का?
- VPN काय करते आणि काय करत नाही हे आपल्याला माहीत आहे का?
जर अनेक उत्तरे “नाही” असतील, तर पुढची पायरी हे मोठे साधन असेलच असे नाही. हे स्पष्ट मालकी आणि कमी अनावश्यक परवानग्या असू शकतात.
वारंवार विचारले जाणारे प्रश्न
VPN हे Zero Trust सारखेच आहे का?
नाही. A VPN एक कूटबद्ध कनेक्शन मार्ग प्रदान करू शकतो, परंतु Zero Trust हा वापरकर्ते, उपकरणे, संसाधने, धोरण आणि सत्यापनावर केंद्रित असलेला एक व्यापक सुरक्षा दृष्टीकोन आहे. एक VPN त्या दृष्टिकोनातील एक स्तर असू शकतो, संपूर्ण प्रणाली नाही.
छोट्या संघांनी Zero Trust स्थलांतरादरम्यान VPNs वापरणे थांबवावे का?
आपोआप नाही. एक VPN अजूनही दूरस्थ कार्य, सार्वजनिक वाय-फाय संरक्षण, अंदाजे प्रवेश मार्ग आणि प्रशासकीय कार्यप्रवाहांना समर्थन देऊ शकते. VPN कुठे मदत करते हे परिभाषित करणे आणि त्याच्या आसपास ओळख, डिव्हाइस आणि परवानगी नियंत्रणे जोडणे हे अधिक चांगले आहे.
लहान संघासाठी पहिली Zero Trust पायरी कोणती आहे?
संवेदनशील संसाधने सूचीबद्ध करून प्रारंभ करा आणि प्रत्येकाची कोणाला गरज आहे. नंतर शक्य असेल तेथे सामायिक प्रवेश काढून टाका, महत्त्वाच्या खात्यांसाठी मल्टी-फॅक्टर ऑथेंटिकेशन सक्षम करा आणि वास्तविक नोकरीच्या गरजा कमी करा.
Zero Trust ला एंटरप्राइझ पायाभूत सुविधांची आवश्यकता आहे का?
सुरुवातीला नाही. प्रौढ Zero Trust कार्यक्रम जटिल होऊ शकतात, परंतु लहान संघ संसाधन सूची, वैयक्तिक खाती, बहु-घटक प्रमाणीकरण, डिव्हाइस अपेक्षा, प्रवेश पुनरावलोकने आणि स्पष्ट VPN वापर नियमांसह प्रारंभ करू शकतात.
VPN सुरक्षित दूरस्थ प्रवेशाची हमी देऊ शकते?
नाही. A VPN हा रिमोट-एक्सेस स्वच्छतेचा एक उपयुक्त भाग असू शकतो, परंतु ते सुरक्षिततेची हमी देऊ शकत नाही किंवा खाते संरक्षण, डिव्हाइस अद्यतने, फिशिंग प्रतिकार, परवानगी व्यवस्थापन, देखरेख किंवा चांगले ऑफबोर्डिंग बदलू शकत नाही.
तळ ओळ
शून्य विश्वास स्थलांतर प्रत्येक परिचित साधन फेकून देऊन सुरू करणे आवश्यक नाही. लहान संघासाठी, प्रत्येक साधन कशासाठी जबाबदार आहे हे परिभाषित करणे अधिक उपयुक्त प्रारंभिक बिंदू आहे.
VPN वापरा जेथे कूटबद्ध, अंदाज लावता येणारा दूरस्थ-प्रवेश मार्ग मदत करतो. ओळख तपासणी जोडा जेणेकरून प्रवेश वास्तविक लोकांचा असेल, सामायिक क्रेडेन्शियल्स नाही. डिव्हाइस अपेक्षा सेट करा. अरुंद परवानग्या. संवेदनशील संसाधनांपर्यंत कोण पोहोचू शकते याचे पुनरावलोकन करा. काम संपल्यावर प्रवेश काढून टाका.
अशा प्रकारे एक VPN संपूर्ण Zero Trust प्रोग्राम असल्याचे भासवल्याशिवाय Zero Trust विचारात बसू शकतो.