Af Lars Bennetzen, Alt om Data
Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.
Zero trust – det er et af de mest glødende begreber inden for it-sikkerhed i øjeblikket. Men hvad betyder det egentlig for virksomheder, der for alvor vil køre en nultolerance over for enhver form for sikkerhedslækage? AOD PRO har deltaget i et internationalt rundbordsmøde, hvor myterne og problemstillingerne omkring zero trust blev vendt.
Først og fremmest kræver det en kulturændring hos virksomhederne, hvis zero trust-princippet skal kunne implementeres og bruges effektivt. Det nytter ikke længere at stole på andre og efterfølgende bekræfte, hvorvidt tilliden var på sin plads. Det forklarer Rik Turner, principal analyst, emerging technology hos konsulentfirmaet Omdia, til AOD PRO.
”Det plejede at være sådan, at du loggede ind ved porten, og så ville de tjekke, hvem du var, og bekræfte det. Så var du inde og det var det,” fortæller Rik Turner og fortsætter:
”Men det holder ikke længer vand. Det er fejlbehæftet og ekstremt sårbart. Zero trust-mentaliteten kan opsummeres til ”Stol aldrig på nogen, bekræft altid”.”
Kontrol hver eneste gang
Hvis vi skærer zero trust ind til kernen, så betyder det, at der ikke er tillid til nogen, hverken ansatte, partnere, partneres ansatte eller underleverandører på noget tidspunkt.
I et zero trust-miljø vil der blive afkræve autentifikation af alle parter for at komme på et netværk. Deres identitet skal bekræftes, og deres enheds sikkerhedstilstand skal kontrolleres, hver eneste gang de anmoder om adgang til noget i virksomhedens infrastruktur.
”Det handler om at der skal anmodes om adgang til applikationer, til elementer eller til en database, og det skal kun tillades, hvis adgangen lever op til alle kriterier,” forklarer Rik Turner og fortsætter:
”Det kan være kriterier såsom tidspunkt på dagen, for vi ønsker ikke, at alle kan logge på klokken to om natten – det vil virke underligt. Vi vil specielt ikke have at folk, der normalt logger på fra Storbritannien, pludselig logger på fra Kina. Der skal være geografiske begrænsninger her og der, som virksomhederne selv kan vælge, for at kunne bekræfte og godkende en bruger,” siger Rik Turner.
Først og fremmest kræver det en kulturændring hos virksomhederne, siger Rik Turner fra konsulentfirmaet. Foto: John CassidyMen det er også nødvendigt konstant at overvåge, hvad personen gør, når vedkommende først har fået adgang til netværket, for det er stadig muligt, at hans konto er blevet overtaget af cyberkriminelle.
”Hvis de opfører sig uventet, kan du enten blokere dem, afslutte sessionen, eller hvis du stadig har tillid til at det er dem, dobbelttjekke, at de er dem, de udgiver sig for,” pointerer Rik Turner.
Institutionaliseret paranoia
Zero Trust bliver af mange betragtet som en form for ”institutionaliseret paranoia”, og Rik Turner kan godt se at i det sociale liv kan det opfattes som sådan.
Men han pointerer, at her snakker vi om virksomhedens eksistens og nødvendigheden af at forsvare værdier, data, infrastruktur og ansatte.
”Zero trust vil blive mødt med modstand af mennesker, der mener, at det er for ekstremt. Men vi skal forklare dem, at det handler om ikke at give alle enheder, brugere eller andet der logger på netværket, adgang til alt,” siger en anden deltager i rundbordsmødet, Jordan LaRose, director of consulting and incident response i F-Secures amerikanske afdeling.
Samtidig betyder zero trust, at dagene med en hård perimeter er væk. Vivek Bhandari, senior director of product marketing, Networking & Security, hos VMware, forklarer, at før i tiden var alt på indersiden godt, og alle kunne få adgang til alt. Men den tilgang er med dagens komplekse netværk ikke længere sikker for netværk eller brugere.
Når først en bruger er på et netværk, kan det betragtes som en tyv, der bor der i uger eller måneder, siger Vivek Bhandari fra softwareselskabet VMware.Når først en bruger er på et netværk med en hård perimeter, så kan det betragtes som en tyv, der bryder ind i dit hus og bor der i uger eller måneder, mens han går fra rum til rum og lytter til samtaler, illustrerer Vivek Bhandari.
”Det er ikke holdbart; vi kan ikke forestille os at nogen gør det i vores hjem, men det er, hvad der sker hver dag i virksomheders netværk, og det er derfor vi har brug for zero trust,” siger han.
Sikkerhed har ingen løsning
Jordan LaRose slutter af med at pointere, at han ikke ser sikkerhed som et problem, du kan løse, men som noget, du kun kan afbøde.
Zero trust vil blive mødt med modstand af mennesker, der mener, at det er for ekstremt, siger Jordan LaRose fra sikkerhedsfirmaet F-Secure.”Du kan lave masser af strategier, men der findes ikke en magisk løsning på det. Dermed bliver zero trust-metoden endnu vigtigere, for den giver dig en chance mod de angreb, som kommer gennem din mikrobølgeovn eller måske igennem en chip i din mainframe,” siger Jordan LaRose.
