Małe zespoły często spotykają się z Zero Trust zadając niechlujne, praktyczne pytanie: „Używamy już VPN do pracy zdalnej. Czy musimy go wymienić?”
Lepsze pytanie jest zwykle węższe. Co powinien nadal obsługiwać VPN i co powinno zostać uwzględnione w otaczających go regułach dotyczących tożsamości, urządzenia, zasad, monitorowania i dostępu?
Tutaj zaczyna się praktyczna migracja Zero Trust. Nie zaczyna się od sloganu ani decyzji gigantycznej platformy. Rozpoczyna się od traktowania każdego zdalnego połączenia jako żądania wymagającego kontekstu: kto się łączy, z jakiego urządzenia, do jakiego zasobu i w jakim celu.
Co Zero Trust zmienia się w zakresie dostępu zdalnego
NIST opisuje Zero Trust jako odejście od polegania na statycznym obwodzie sieci w kierunku ochrony użytkowników, zasobów i zasobów. Mówiąc wprost, bycie „w sieci” nie powinno automatycznie oznaczać, że dana osoba lub urządzenie uzyska szeroki dostęp.
Dla małego zespołu ten pomysł ma znaczenie, ponieważ praca zdalna rzadko zdarza się już w jednej, czystej sieci biurowej. Ludzie łączą się z domu, hoteli, przestrzeni coworkingowych, mobilnych hotspotów, witryn klientów i urządzeń osobistych. Wykonawcy mogą potrzebować jednego pulpitu nawigacyjnego, ale nie reszty środowiska firmy. Założyciel może potrzebować panelu administracyjnego podczas podróży. Członek zespołu wsparcia może potrzebować stabilnej ścieżki dostępu, ale tylko w przypadku ograniczonego zestawu narzędzi.
Na tym właśnie polega prawdziwy problem biznesowy zdalnego dostępu o zerowym zaufaniu: zespół potrzebuje przydatnej zdalnej łączności, nie traktując każdego udanego połączenia jako szerokiego zaufania.
Gdzie VPN nadal pasuje
VPN może być nadal przydatny w tym modelu. Może utworzyć zaszyfrowaną ścieżkę sieciową, zwiększyć przewidywalność tras dostępu i wspierać przepływy pracy, w których stabilny źródłowy adres IP lub chronione połączenie są częścią rutyny operacyjnej.
Na przykład mały zespół może użyć VPN, gdy:
- dostęp do paneli administracyjnych z sieci publicznych lub współdzielonych;
- łączenie kontrahentów zdefiniowaną ścieżką zdalnego dostępu;
- zapewnienie większej przewidywalności zachowania SaaS na liście dozwolonych;
- oddzielenie ruchu służbowego od ekspozycji lokalnego Wi-Fi;
- ograniczenie losowości wejść z hoteli, lotnisk czy przestrzeni coworkingowych.
Ważne jest to, że VPN i zero zaufania nie powinny być postrzegane jako wybór, w którym zwycięzca bierze wszystko. VPN odpowiada na jedną część pytania dostępu: w jaki sposób ruch przemieszcza się między użytkownikiem a zasobem. Zero Trust myślenie zadaje dodatkowe pytania przed i po zaistnieniu połączenia.
O co nie należy prosić VPN
Problemy zaczynają się, gdy VPN staje się jedyną bramą.
Jeśli wszyscy mają wspólne dane uwierzytelniające, zespół nie może łatwo stwierdzić, kto się połączył. Jeśli po połączeniu każdy użytkownik dotrze do każdego zasobu wewnętrznego, ścieżka VPN jest zbyt szeroka. Jeśli urządzenia nie są załatane, chronione lub wyłączone, połączenie może wyglądać na prawidłowe, podczas gdy punkt końcowy pozostaje ryzykowny. Jeśli nie sprawdza się, kto potrzebuje dostępu, kumulują się stare uprawnienia.
VPN również nie zastępuje:
- uwierzytelnianie wieloskładnikowe;
- menedżer haseł i unikalne hasła;
- aktualizacje urządzeń i higiena punktów końcowych;
- usunięcie konta;
- uprawnienia oparte na rolach;
- świadomość phishingu;
- monitorowanie i przeglądanie logów;
- jasne zasady dostępu dla wykonawców i administratorów.
Nie oznacza to, że VPNs stają się przestarzałe. Oznacza to, że VPN powinien mieć zdefiniowane zadanie w ramach szerszego planu dostępu.
Migracja w małym zespole Zero Trust bez nadmiernego budowania
Duże organizacje mogą korzystać ze szczegółowych modeli dojrzałości i szerszych programów architektury bezpiecznego dostępu. Małe zespoły mogą pożyczać zasady, nie udając, że mają ten sam personel, budżet czy infrastrukturę.
Zacznij od tych kroków.
1. Wypisz zasoby, do których faktycznie docierają ludzie
Zapisz systemy, do których mają dostęp zdalni pracownicy, administratorzy, kontrahenci i założyciele. Zachowaj konkret:
- pulpity administracyjne;
- repozytoria kodu lub środowiska testowe;
- narzędzia finansowe;
- systemy obsługi klienta;
- systemy zarządzania treścią;
- wspólne przechowywanie w chmurze;
- aplikacje wewnętrzne;
- SaaS konta z wrażliwymi ustawieniami.
Nie zaczynaj od „sieci” jako jednej wielkiej rzeczy. Zacznij od zasobów. Odpowiada to idei Zero Trust, zgodnie z którą ochrona powinna koncentrować się na tym, czego ludzie próbują używać, a nie tylko na tym, skąd się łączą.
2. Mapa, kto potrzebuje każdego zasobu
Następnie zapytaj, kto naprawdę potrzebuje dostępu. Wykonawca edytujący kopię produktu może nie potrzebować panelu rozliczeniowego. Członek zespołu wsparcia może potrzebować narzędzia klienta, ale nie dostępu do rejestratora domen. Deweloper może potrzebować dostępu tymczasowego, ale nie do każdego produkcyjnego panelu administracyjnego.
W tym miejscu praktyczny staje się dostęp z najniższymi uprawnieniami. Celem nie jest sprawianie, że praca będzie bolesna. Celem jest usunięcie uprawnień, których nikt nie może obronić.
Dla każdego zasobu zdefiniuj:
- właściciel;
- zatwierdzeni użytkownicy lub role;
- powód dostępu;
- normalna metoda dostępu;
- harmonogram przeglądu;
- właściciel offboardingu.
Nawet prosty arkusz kalkulacyjny jest lepszy niż poleganie na pamięci.
3. Przed dostępem do poufnych informacji przedstaw kontrolę tożsamości
Zero Trust traktuje tożsamość jako podstawowy sygnał dostępu. W przypadku małego zespołu pierwsze ulepszenie jest często proste, ale cenne: unikalne konta, uwierzytelnianie wieloskładnikowe i brak wspólnych loginów do wrażliwych narzędzi.
Jeśli cały zespół ma poświadczenie VPN, napraw ten wzorzec przed dodaniem złożoności. Wspólny dostęp utrudnia odejście od pracy i osłabia odpowiedzialność. Udostępniaj użytkownikom indywidualne konta, gdziekolwiek narzędzie na to pozwala, i przechowuj metody odzyskiwania danych pod kontrolą firmy.
4. Zdefiniuj oczekiwania względem urządzenia
Zero Trust pyta również, czy urządzenie powinno być zaufane w przypadku żądanej pracy. Mały zespół może nie sprawdzać stanu urządzeń w przedsiębiorstwie, ale nadal może określić minimalne oczekiwania:
- aktualne aktualizacje systemu operacyjnego;
- włączona blokada ekranu;
- brak współdzielonego urządzenia rodzinnego lub publicznego do pracy administracyjnej;
- zainstalowany menedżer haseł;
- zaktualizowano przeglądarkę i aplikacje do pracy;
- znany jest proces utraty urządzenia;
- urządzenia osobiste usuwane z dostępu, gdy ktoś wychodzi.
Nie chodzi o to, aby domagać się doskonałego bezpieczeństwa urządzenia. Chodzi o to, aby przestać traktować „posiada hasło” jako jedyny warunek dostępu.
5. Użyj VPN dla ścieżek, w których jest to pomocne
Gdy podstawy tożsamości i urządzenia będą już jaśniejsze, zdecyduj, gdzie należy VPN.
W przypadku wielu małych zespołów VPN Unlimited by KeepSolid może zmieścić się jako warstwa VPN w procedurze pracy zdalnej, gdy zespół potrzebuje chronionej ścieżki połączenia. Obowiązujące zasady nadal mają znaczenie: kto może z niego korzystać, jakie zasoby obsługuje, kiedy powinien być włączony i jakie inne kontrole są wymagane.
Jest to zdrowszy model niż „włącz VPN i wszystko będzie załatwione”.
Praktyczny wzorzec dostępu
Oto prosty wzorzec, którego mogą używać małe zespoły do planowania bezpiecznego dostępu zdalnego:
- Użytkownik loguje się za pomocą konta indywidualnego.
- W przypadku wrażliwych zasobów wymagane jest uwierzytelnianie wieloskładnikowe.
- Użytkownik łączy się za pośrednictwem VPN podczas pracy z publiczną siecią Wi-Fi, sieciami podróżniczymi lub zdefiniowanymi scenariuszami dostępu zdalnego.
- Wrażliwe pulpity nawigacyjne są ograniczone do zatwierdzonych użytkowników lub ról.
- Dostęp administratora jest sprawdzany zgodnie z harmonogramem.
- Odchodzący pracownicy i kontrahenci są usuwani z kont, dostępu VPN i list dozwolonych.
- Incydenty i podejrzane monity logowania są dokumentowane, a nie ignorowane.
Ten wzorzec nie jest pełną architekturą Zero Trust. Jest to łatwy w zarządzaniu pomost od „mamy VPN” do „wiemy, kto może do czego dotrzeć, w jakich warunkach i dlaczego”.
Typowe błędy podczas migracji Zero Trust
Traktowanie Zero Trust jako zamiany produktu
Zero Trust to nie tylko nowy produkt dostępowy. Ramy dojrzałości CISA traktują migrację jako podróż, co jest przydatnym przypomnieniem dla mniejszych zespołów. Narzędzia mogą pomóc, ale liczy się model operacyjny: zapasy, tożsamość, urządzenia, polityka dostępu, widoczność i bieżący przegląd.
Utrzymywanie starych nawyków w zakresie dostępu współdzielonego
Konta współdzielone są wygodne, dopóki ktoś nie odejdzie, urządzenie nie zostanie zgubione lub zespół nie będzie musiał zrozumieć, co się stało. Jeśli zasób ma znaczenie, dostęp indywidualny powinien być domyślny.
Nadanie VPN zbyt dużej władzy
Połączenie VPN nie powinno automatycznie odblokowywać każdego zasobu. Jeśli jedyną zasadą jest „połączenie równa się zaufanie”, zespół tak naprawdę nie zmienił swojego modelu dostępu.
Zapominanie o kontrahentach
Wykonawcy często potrzebują szybkiego dostępu do wąskich prac. To sprawia, że są dobrym przypadkiem testowym dla lepszych zasad: ograniczone zasoby, jasne daty rozpoczęcia i zakończenia, wymieniony właściciel i czyste usunięcie po zakończeniu pracy.
Pisanie zasad, których nikt nie może przestrzegać
Małe zespoły potrzebują nudnych, powtarzalnych nawyków. Jeśli proces wymaga specjalisty ds. bezpieczeństwa przy każdej decyzji dotyczącej logowania, ludzie będą go omijać. Zacznij od elementów sterujących, które faktycznie możesz utrzymać.
Prosta lista kontrolna dla małych zespołów
Skorzystaj z tej listy kontrolnej przed rozszerzeniem dostępu zdalnego:
– Czy listy dozwolonych SaaS, pulpity administracyjne i narzędzia wewnętrzne są ograniczone do właściwych osób?
- Czy wiemy, które zasoby są wrażliwe?
- Czy każda osoba korzysta z konta indywidualnego?
- Czy włączono uwierzytelnianie wieloskładnikowe tam, gdzie jest to najważniejsze?
- Czy wiemy, które urządzenia są dopuszczalne do pracy administratora?
- Czy w przypadku publicznych sieci Wi-Fi lub zdefiniowanych ścieżek dostępu wymagane jest użycie VPN?
- Czy wykonawcy mają daty rozpoczęcia i zakończenia oraz właściciele dostępu?
- Czy szybko usuwamy dostęp, gdy ktoś wychodzi?
- Czy przynajmniej od czasu do czasu sprawdzamy uprawnienia?
- Czy wiemy, co VPN robi, a czego nie?
Jeśli kilka odpowiedzi brzmi „nie”, następnym krokiem niekoniecznie jest większe narzędzie. Może to oznaczać jaśniejszą własność i mniej niepotrzebnych uprawnień.
Często zadawane pytania
Czy VPN to to samo co Zero Trust?
Nie. VPN może zapewnić szyfrowaną ścieżkę połączenia, ale Zero Trust to szersze podejście do bezpieczeństwa skupiające się na użytkownikach, urządzeniach, zasobach, zasadach i weryfikacji. VPN może stanowić jedną warstwę w ramach tego podejścia, a nie cały system.
Czy małe zespoły powinny przestać używać VPN podczas migracji Zero Trust?
Nie automatycznie. VPN może nadal obsługiwać pracę zdalną, ochronę publicznej sieci Wi-Fi, przewidywalne ścieżki dostępu i przepływy pracy administracyjnej. Lepszym posunięciem jest zdefiniowanie, gdzie VPN pomaga i dodanie wokół niego kontroli tożsamości, urządzenia i uprawnień.
Jaki jest pierwszy Zero Trust krok dla małego zespołu?
Zacznij od wyszczególnienia wrażliwych zasobów i tego, kto ich potrzebuje. Następnie, jeśli to możliwe, usuń dostęp współdzielony, włącz uwierzytelnianie wieloskładnikowe dla ważnych kont i zawęź uprawnienia do rzeczywistych potrzeb zawodowych.
Czy Zero Trust wymaga infrastruktury korporacyjnej?
Nie na początku. Dojrzałe programy Zero Trust mogą stać się złożone, ale małe zespoły mogą zacząć od inwentaryzacji zasobów, kont indywidualnych, uwierzytelniania wieloskładnikowego, oczekiwań urządzeń, przeglądów dostępu i jaśniejszych zasad użytkowania VPN.
Czy VPN może zagwarantować bezpieczny zdalny dostęp?
Nie. VPN może być użyteczną częścią higieny dostępu zdalnego, ale nie może zagwarantować bezpieczeństwa ani zastąpić ochrony konta, aktualizacji urządzenia, odporności na phishing, zarządzania uprawnieniami, monitorowania ani dobrego offboardingu.
Konkluzja
Migracja zerowego zaufania nie musi rozpoczynać się od wyrzucenia każdego znanego narzędzia. Dla małego zespołu bardziej przydatnym punktem wyjścia jest zdefiniowanie, za co odpowiada każde narzędzie.
Użyj VPN, gdy pomaga zaszyfrowana, przewidywalna ścieżka dostępu zdalnego. Dodaj kontrole tożsamości, aby dostęp należał do prawdziwych osób, a nie udostępnianych danych uwierzytelniających. Ustaw oczekiwania dotyczące urządzenia. Wąskie uprawnienia. Sprawdź, kto może uzyskać dostęp do wrażliwych zasobów. Usuń dostęp po zakończeniu prac.
W ten sposób VPN może pasować do myślenia Zero Trust, nie udając, że jest całym programem Zero Trust.