Невеликі команди часто зустрічаються з Zero Trust через безладне практичне запитання: «Ми вже використовуємо VPN для віддаленої роботи. Чи потрібно нам його замінити?»
Краще питання зазвичай вужче. Що все ще має обробляти VPN і що слід перемістити в ідентифікацію, пристрій, політику, моніторинг і правила доступу навколо нього?
Саме тут починається практична міграція Zero Trust. Це не починається зі слогану чи гігантського платформного рішення. Починається з розгляду кожного віддаленого підключення як запиту, який потребує контексту: хто підключається, з якого пристрою, до якого ресурсу та з якою метою.
Що Zero Trust змінює щодо віддаленого доступу
NIST описує Zero Trust як перехід від опори на статичний периметр мережі до захисту користувачів, активів і ресурсів. Якщо говорити простою англійською мовою, перебування «в мережі» не повинно автоматично означати, що особа або пристрій отримує широкий доступ.
Для невеликої команди ця ідея має значення, оскільки віддалена робота вже рідко відбувається з однієї чистої офісної мережі. Люди підключаються з дому, готелів, коворкінгів, мобільних точок доступу, сайтів клієнтів і персональних пристроїв. Підрядникам може знадобитися одна інформаційна панель, але не решта корпоративного середовища. Засновнику може знадобитися панель адміністратора під час подорожі. Співробітнику служби підтримки може знадобитися стабільний шлях доступу, але лише для обмеженого набору інструментів.
Це справжня бізнес-проблема віддаленого доступу з нульовою довірою: команда потребує корисного віддаленого підключення, не розглядаючи кожне успішне з’єднання як широку довіру.
Де VPN все ще підходить
VPN все ще може бути корисним у цій моделі. Він може створити зашифрований мережевий шлях, допомогти зробити маршрути доступу більш передбачуваними та підтримувати робочі процеси, де стабільна вихідна IP-адреса або захищене з’єднання є частиною операційної процедури.
Наприклад, невелика команда може використовувати VPN, коли:
- доступ до інформаційних панелей адміністратора з загальнодоступних або спільних мереж;
- підключення підрядників через визначений шлях віддаленого доступу;
- збереження більш передбачуваною поведінки білого списку SaaS;
- відокремлення робочого трафіку від локального доступу Wi-Fi;
- зменшення випадкового доступу з готелів, аеропортів або коворкінгів.
Важливим моментом є те, що vpn і нульова довіра не повинні розглядатися як вибір, коли переможець отримує все. VPN відповідає на одну частину питання доступу: як трафік переміщається між користувачем і ресурсом. Zero Trust мислення ставить додаткові запитання до і після цього зв’язку.
Що не слід вимагати від VPN робити
Проблеми починаються, коли VPN стає єдиним шлюзом.
Якщо всі мають одні облікові дані, команда не може легко визначити, хто підключився. Якщо кожен користувач отримує доступ до кожного внутрішнього ресурсу після підключення, шлях VPN занадто широкий. Якщо пристрої не виправлено, не захищено чи відключено, з’єднання може виглядати легітимним, а кінцева точка залишається ризикованою. Якщо немає перегляду того, кому потрібен доступ, старі дозволи накопичуються.
VPN також не замінює:
- багатофакторна аутентифікація;
- менеджер паролів і унікальних паролів;
- оновлення пристроїв і гігієна кінцевих точок;
- зняття рахунку;
- дозволи на основі ролей;
- обізнаність про фішинг;
- моніторинг та перегляд журналів;
- чіткі правила доступу підрядника та адміністратора.
Це не робить VPNs застарілим. Це означає, що VPN має мати визначену роботу в рамках ширшого плану доступу.
Невелика команда Zero Trust Міграція без надмірного будівництва
Великі організації можуть використовувати детальні моделі зрілості та ширші програми архітектури безпечного доступу. Невеликі команди можуть запозичити принципи, не вдаючи, що вони мають той самий персонал, бюджет чи інфраструктуру.
Почніть із цих кроків.
1. Перелічіть ресурси, які люди фактично досягають
Запишіть системи, до яких мають доступ віддалені працівники, адміністратори, підрядники та засновники. Тримайте це конкретно:
- панелі адміністратора;
- сховища коду або проміжні середовища;
- інструменти фінансування;
- системи підтримки клієнтів;
- системи управління контентом;
- спільне хмарне сховище;
- внутрішні програми;
- облікові записи SaaS з конфіденційними налаштуваннями.
Не починайте з «мережі» як однієї великої речі. Почніть із ресурсів. Це відповідає ідеї Zero Trust про те, що захист має зосереджуватися на тому, що люди намагаються використовувати, а не лише на тому, звідки вони підключаються.
2. Позначте, хто потребує кожного ресурсу
Далі запитайте, кому справді потрібен доступ. Підряднику, який редагує копію продукту, може не знадобитися інформаційна панель виставлення рахунків. Співробітнику служби підтримки може знадобитися інструмент клієнта, але не доступ до реєстратора домену. Розробнику може знадобитися проміжний доступ, але не кожній робочій панелі адміністратора.
Тут стає практичним доступ із найменшими привілеями. Мета – не зробити роботу болючою. Мета полягає в тому, щоб видалити дозволи, які ніхто не може захистити.
Для кожного ресурсу визначте:
- власник;
- затверджені користувачі або ролі;
- причина доступу;
- звичайний спосіб доступу;
- графік огляду;
- виїзний власник.
Навіть проста електронна таблиця краще, ніж покладатися на пам’ять.
3. Перевірте ідентифікаційні дані перед конфіденційним доступом
Zero Trust розглядає ідентичність як основний сигнал доступу. Для невеликої команди перше вдосконалення часто є елементарним, але цінним: унікальні облікові записи, багатофакторна автентифікація та відсутність спільних логінів для конфіденційних інструментів.
Якщо облікові дані VPN спільні для всієї команди, виправте цей шаблон, перш ніж додавати складності. Спільний доступ ускладнює вихід із борту та послаблює відповідальність. Надайте людям індивідуальні облікові записи скрізь, де це дозволяє інструмент, і тримайте методи відновлення під контролем компанії.
4. Визначте очікування від пристрою
Zero Trust також запитує, чи можна довіряти пристрою для виконання запитуваної роботи. Невелика команда може не запускати перевірку стану корпоративних пристроїв, але вона може визначити мінімальні очікування:
- поточні оновлення операційної системи;
- включено блокування екрана;
- немає спільного сімейного або публічного пристрою для роботи адміністратора;
- встановлений менеджер паролів;
- оновлено браузер і робочі програми;
- відомий процес втрати пристрою;
- доступ до особистих пристроїв видаляється, коли хтось йде.
Справа не в тому, щоб претендувати на ідеальну безпеку пристрою. Це припинити розглядати «має пароль» як єдину умову доступу.
5. Використовуйте VPN для шляхів, де це допомагає
Щойно основні відомості про особу та пристрій стануть зрозумілішими, вирішіть, де належить VPN.
Для багатьох невеликих команд VPN Unlimited by KeepSolid може використовуватися як рівень VPN у програмі віддаленої роботи, коли команді потрібен захищений шлях з’єднання. Навколишні правила все ще мають значення: хто може використовувати його, які ресурси він підтримує, коли він має бути ввімкнений та які інші перевірки потрібні.
Це більш здорова модель, ніж «увімкніть VPN, і все врегульовано».
Практичний шаблон доступу
Ось простий шаблон, який невеликі групи можуть використовувати для безпечного планування віддаленого доступу:
- Користувач входить за допомогою індивідуального облікового запису.
- Для конфіденційних ресурсів потрібна багатофакторна автентифікація.
- Користувач підключається через VPN під час роботи з загальнодоступною мережею Wi-Fi, мережами подорожей або визначеними сценаріями віддаленого доступу.
- Конфіденційні інформаційні панелі обмежені схваленими користувачами або ролями.
- Доступ адміністратора переглядається за розкладом.
- Звільнені працівники та підрядники видаляються з облікових записів, доступу до VPN та білих списків.
- Інциденти та підозрілі запити на вхід документуються, а не ігноруються.
Цей шаблон не є повною архітектурою Zero Trust. Це керований міст від «у нас є VPN» до «ми знаємо, хто чого може досягти, за яких умов і чому».
Поширені помилки під час міграції Zero Trust
Обробка Zero Trust як обмін продукту
Zero Trust — це не просто новий продукт доступу. У структурі зрілості CISA міграція розглядається як подорож, що є корисним нагадуванням для невеликих команд. Інструменти можуть допомогти, але операційна модель має значення: інвентар, ідентифікаційні дані, пристрої, політика доступу, видимість і постійний огляд.
Збереження старих звичок спільного доступу
Спільні облікові записи зручні, поки хтось не піде, не загубиться пристрій або команді потрібно зрозуміти, що сталося. Якщо ресурс має значення, індивідуальний доступ має бути за замовчуванням.
Надання VPN забагато повноважень
Підключення VPN не повинно автоматично розблоковувати кожен ресурс. Якщо єдиним правилом є «підключено означає довіру», команда насправді не змінила свою модель доступу.
Забувши про підрядників
Підрядникам часто потрібен швидкий доступ для вузької роботи. Це робить їх гарним тестом для кращих правил: обмежені ресурси, чіткі дати початку та завершення, названий власник і чисте видалення після завершення роботи.
Правила написання, яких ніхто не може дотримуватися
Маленьким командам потрібні нудні, повторювані звички. Якщо процес потребує спеціаліста з безпеки для кожного рішення щодо входу, люди будуть обходити його. Почніть з елементів керування, які ви можете підтримувати.
Простий контрольний список для малих команд
Скористайтеся цим контрольним списком перед розширенням віддаленого доступу:
– Ми хоч зрідка переглядаємо дозволи?
- Чи знаємо ми, які ресурси є чутливими?
- Чи кожна особа використовує індивідуальний обліковий запис?
- Чи ввімкнено багатофакторну автентифікацію там, де це найбільш важливо?
- Чи знаємо ми, які пристрої прийнятні для роботи адміністратора?
- Чи потрібне використання VPN для публічної мережі Wi-Fi або визначених шляхів доступу?
- Чи дозволені списки, інформаційні панелі адміністратора та внутрішні інструменти SaaS обмежені потрібними людьми?
- Чи мають підрядники дати початку, дати завершення та власників доступу?
- Чи швидко ми знімаємо доступ, коли хтось йде?
- Чи знаємо ми, що VPN робить, а чого ні?
Якщо кілька відповідей «ні», наступним кроком не обов’язково буде більший інструмент. Це може бути чіткіше право власності та менше непотрібних дозволів.
FAQ
Чи VPN те саме, що Zero Trust?
Ні. VPN може забезпечити зашифрований шлях підключення, але Zero Trust — це ширший підхід до безпеки, зосереджений на користувачах, пристроях, ресурсах, політиці та перевірці. VPN може бути одним шаром у цьому підході, а не всією системою.
Чи повинні невеликі команди припинити використання VPN під час міграції Zero Trust?
Не автоматично. VPN все ще може підтримувати віддалену роботу, захист публічної мережі Wi-Fi, передбачувані шляхи доступу та робочі процеси адміністратора. Краще визначити, де VPN допомагає, і додати навколо нього елементи керування ідентифікацією, пристроєм і дозволами.
Який перший крок Zero Trust для невеликої команди?
Почніть зі списку конфіденційних ресурсів і кому кожен з них потрібен. Потім видаліть спільний доступ, де це можливо, увімкніть багатофакторну автентифікацію для важливих облікових записів і звузіть дозволи до реальних потреб роботи.
Чи потрібна Zero Trust корпоративна інфраструктура?
Не на початку. Зрілі програми Zero Trust можуть стати складними, але невеликі команди можуть почати з інвентаризації ресурсів, індивідуальних облікових записів, багатофакторної автентифікації, очікуваних пристроїв, переглядів доступу та чіткіших правил використання VPN.
Чи може VPN гарантувати безпечний віддалений доступ?
Ні. VPN може бути корисною частиною гігієни віддаленого доступу, але він не може гарантувати безпеку або замінити захист облікового запису, оновлення пристрою, стійкість до фішингу, керування дозволами, моніторинг або ефективне відключення.
Підсумок
Міграція без довіри не повинна починатися з викидання всіх знайомих інструментів. Для невеликої команди більш корисною відправною точкою є визначення того, за що відповідає кожен інструмент.
Використовуйте VPN, де допомагає зашифрований передбачуваний шлях віддаленого доступу. Додайте перевірку особи, щоб доступ належав реальним людям, а не спільним обліковим даним. Встановіть очікування від пристрою. Вузькі дозволи. Перегляньте, хто може отримати доступ до конфіденційних ресурсів. Закрити доступ після закінчення роботи.
Ось як VPN може вписатися в Zero Trust мислення, не претендуючи на те, щоб бути цілою програмою Zero Trust.