Zero Trust: koniec zaufanego wnętrza sieci

Przez lata bezpieczeństwo sieci opierało się na jednym założeniu: jest „zewnątrz” (niebezpieczne) i „wewnątrz” (zaufane), a między nimi stoi firewall. Problem w tym, że gdy atakujący raz przekroczy tę granicę — przez phishing, VPN czy podatną usługę — porusza się po miękkim środku niemal bez oporu. Zero Trust odwraca to założenie.

Na czym polega Zero Trust

Zasada jest prosta: nigdy nie ufaj, zawsze weryfikuj. Żaden użytkownik, urządzenie ani usługa nie są zaufane tylko dlatego, że znajdują się „w środku” sieci. Każdy dostęp jest uwierzytelniany, autoryzowany i ograniczony do niezbędnego minimum — niezależnie od tego, skąd pochodzi. Ramy tego podejścia opisuje m.in. NIST SP 800-207.

To nie produkt, który się kupuje, lecz architektura i sposób myślenia. Nie da się „włączyć Zero Trust” jednym zakupem — buduje się je krok po kroku.

Filary, na których się opiera

Silna tożsamość. Podstawą jest wiarygodne uwierzytelnianie — najlepiej odporne na phishing (klucze FIDO2, passkeys).
Dostęp z najmniejszymi uprawnieniami. Użytkownik i usługa dostają dokładnie tyle, ile potrzebują, i tylko na czas, gdy tego potrzebują.
Mikrosegmentacja. Sieć dzieli się na małe strefy, tak by przejęcie jednego elementu nie dawało dostępu do reszty — to ta sama logika, która przerywa łańcuch ataku ransomware.
Weryfikacja kontekstu i urządzenia. Decyzja o dostępie uwzględnia stan urządzenia, lokalizację i ryzyko, a nie tylko poprawne hasło.
Ciągły monitoring. Zaufanie nie jest przyznawane raz na zawsze — jest stale oceniane.

Od czego zacząć

Nie zaczynaj od wielkiego wdrożenia „wszystko naraz”. Skuteczniej działa podejście przyrostowe:

Zinwentaryzuj tożsamości, urządzenia i najważniejsze zasoby.
Wzmocnij uwierzytelnianie (MFA odporne na phishing) dla dostępu krytycznego.
Odetnij płaską sieć — zacznij od segmentacji najbardziej wrażliwych systemów.
Zastąp „zaufanie do VPN” dostępem per-aplikacja, weryfikowanym za każdym razem.

Czego unikać

Największą pułapką jest traktowanie Zero Trust jak hasła marketingowego naklejanego na istniejące produkty. Drugą — próba zrobienia wszystkiego naraz i sparaliżowanie organizacji. Zero Trust to kierunek, w którym idzie się etapami, zaczynając od miejsc największego ryzyka. Jeśli chcesz zaplanować taką drogę dla swojej sieci, skontaktuj się z nami.

Decyzja dostępu według NIST

NIST SP 800-207 zakłada brak zaufania wynikającego wyłącznie z lokalizacji sieciowej lub własności urządzenia. Dostęp powstaje po ocenie podmiotu i urządzenia dla konkretnego zasobu. Policy Engine podejmuje decyzję, Policy Administrator ją realizuje, a Policy Enforcement Point dopuszcza lub blokuje sesję.

To nie znaczy, że użytkownik loguje się ponownie przy każdym pakiecie. Oznacza ciągłą możliwość ponownej oceny na podstawie ryzyka, stanu urządzenia, zachowania i polityki. VPN może pozostać kanałem transportowym, ale nie powinien automatycznie dawać szerokiego dostępu do całej sieci.

Zacznij od jednego przepływu

Wybierz zasób o wysokiej wartości, na przykład panel administracyjny lub system finansowy. Zmapuj użytkowników, urządzenia, dane, zależności i obecne ścieżki. Następnie zdefiniuj regułę opartą na silnej tożsamości, stanie urządzenia, minimalnym zakresie i pełnym logowaniu.

Uruchom w trybie obserwacji, zmierz legalne przypadki, popraw wyjątki i dopiero egzekwuj. Powtarzalny mały wzorzec jest bardziej wartościowy niż zakup platformy bez modelu polityki.

Tożsamości maszynowe i usługi

Zero Trust obejmuje także workloady. Każda usługa powinna mieć własną, rotowaną tożsamość, a dostęp do API wynikać z celu i środowiska. Wspólny sekret dla wielu aplikacji uniemożliwia precyzyjne wycofanie i audyt.

W środowisku cloud-native polityka może być egzekwowana w API gateway, service mesh lub proxy. Nadal potrzebna jest kontrola kodu aplikacji: infrastruktura nie naprawi błędnej autoryzacji obiektu.

Jak mierzyć postęp

Mierz zasoby objęte polityką, udział phishing-resistant MFA, liczbę kont współdzielonych, zakres sesji, czas unieważnienia dostępu i odsetek decyzji z aktualnym sygnałem urządzenia. Ważny jest spadek możliwego wpływu przejęcia tożsamości, nie liczba wdrożonych agentów.

Praktyczne implementacje i wzorce integracji opisuje również NIST SP 1800-35. Połącz roadmapę z zarządzaniem dostępem uprzywilejowanym oraz segmentacją opartą na zasobach.

Źródła: NIST SP 800-207 — Zero Trust Architecture, NIST SP 800-207A — cloud-native access control, NIST SP 1800-35 — Implementing a Zero Trust Architecture.