Zero Trust دقیقا چیست؟

زیرو تراست نامی است که به یک مدل امنیت فناوری اطلاعات داده شده است که به همه کاربران و دستگاه‌ها، که در داخل یا خارج از محیط شبکه سازمان هستند، نیاز دارند تا احراز هویت و مجوز دسترسی به شبکه‌ها، برنامه‌ها و داده‌ها را داشته باشند.
وقتی صحبت از Zero Trust می‌شود، یک اعتبارسنجی واحد و سنتی کافی نیست. تهدیدها و ویژگی‌های کاربر احتمالا تغییر می‌کنند و هکرها و حملات سایبری پیچیده‌تر می‌شوند.

سازمان‌ها باید اطمینان حاصل کنند که تمام درخواست‌های دسترسی قبل از اجازه دادن به اتصال به هر دارایی (شبکه، برنامه‌ها، داده‌ها…) به‌طور مداوم تایید می‌شوند.

ارزش Zero Trust چیست؟

رویکرد Zero Trust به امنیت اطلاعات و مدیریت ریسک فقط یک موضوع فنی نیست، بلکه برای هر سازمانی تجاری یا غیرانتفاعی، بزرگ، متوسط یا کوچک ارزش تجاری به ارمغان می‌آورد:

• صرفه جویی در هزینه بهره وری عملیاتی به لطف تمرکز و اتوماسیون سیاست‌های امنیتی
• کاهش خطر افشای داده‌ها و زیان‌های مالی نتیجه حفاظت بهتر از داده‌های حساس و مالکیت معنوی است
• اجتناب از مجازات‌‎های احتمالی و شهرت منفی برند
• کاهش زمان، هزینه و تلاش هنگام برآورده کردن و گزارش در مورد الزامات انطباق

مفهوم Zero Trust از کجا می‌آید؟

مفهوم Zero Trust ریشه در این اصل دارد که به هیچ فرد یا سیستمی نباید به طور ضمنی اعتماد کرد، صرف نظر از اینکه آنها در داخل یا خارج از محیط سازمان هستند. زیرو تراست توسط جان کیندرواگ، تحلیلگر سابق تحقیقات Forrester، در سال 2010 ابداع شد. نقش NIST (موسسه ملی استاندارد و فناوری) در این زمینه قابل توجه بوده است. آن‌ها دستورالعمل‌هایی مانند SP 800-207 را تدوین کرده‌اند که معماری Zero Trust را ترسیم می‌کند و یک نقشه راه برای سازمان‌ها برای پیاده‌سازی آن ارائه می‌کند که منعکس‌کننده درک در حال تکامل از امنیت شبکه است.

Zero Trust اغلب با فریمورک CARTA (Continuous Adaptive Risk and Trust Assessment) گارتنر مقایسه می‌شود که رویکردی مشابه و در عین حال متمایز دارد. در حالی که هر دو بر احراز هویت مستمر و ارزیابی اعتماد تمرکز دارند، CARTA بر پاسخ‌های انطباقی به خطرات تاکید می‌کند، پویاتر است و کنترل‌های امنیتی را در زمان واقعی تنظیم می‌نماید، با در نظر گرفتن ریسک دائمی در حال تغییر مرتبط با کاربران و سیستم‌ها. از سوی دیگر، Zero Trust بدون در نظر گرفتن وضعیت یا رفتار کاربر یا سیستم، در انکار اعتماد ثابت باقی می‌ماند.

در حالی که مدل Zero Trust با این فرض عمل می‌کند که نقض اجتناب ناپذیر است و بنابراین همیشه همه چیز را تایید می‌کند، CARTA بر روی تجزیه و تحلیل مستمر سطوح ریسک و اعتماد کار می‌کند و اقدامات امنیتی را در صورت نیاز تطبیق می‌دهد. هدف هر دو استراتژی ارائه رویکردهای ظریف‌تر و انعطاف‌پذیرتر به امنیت نسبت به روش‌های سنتی است، اما نقاط کانونی و استراتژی‌های آن‌ها متفاوت است و فلسفه‌ها و روش‌شناسی‌های مختلف را در پارادایم‌های امنیت سایبری مدرن منعکس می‌کند.

ماهیت Zero trust بسیار انعطاف‌پذیر است و به همین دلیل، شبکه‌ها می‌توانند در فضای ابری، هیبریدی یا در محیط داخلی کنار کارمندان سازمان باشند. درواقع، سازمان‌ها صرف نظر از محل شبکه یا محل حضور کارمندان، می‌توانند از این فریمورک استفاده کنند؛ تفاوتی ندارد که دورکار باشند، دورکاری هیبریدی داشته باشند یا تمام‌وقت به صورت حضوری کار کنند. انعطاف‌پذیری زیرو تراست باعث می‌شود که یک چهارچوب امنیتی بسیار مناسب برای سازمان‌های مدرن باشد.

زیرا بسیاری از سازمان‌ها در حال حرکت به سمت محیط‌های شبکه هیبریدی هستند که شامل ترکیبی از منابع موجود در فضای ابری و منابع داخلی است. در زیرو تراست، فرض بر این است که هیچ کاربر یا دستگاهی به طور پیش‌فرض قابل اعتماد نیست و بدون تاییدیه لازم، نمی‌تواند به منابع دسترسی پیدا کند. این امر به منظور جلوگیری از دسترسی غیرمجاز به منابع سازمانی انجام می‌شود. تایید اعتبار مداوم، یکی از عواملی است که Zero Trust را به یک چهارچوب امنیتی بسیار موثر برای محافظت از شبکه‌های سازمانی تبدیل می‌کند.

در محیط دیجیتال امروزی که همه چیز با سرعت زیاد در حال تغییر و تحول است، استفاده از چهارچوب امنیت Zero Trust به ایمنی زیرساخت‌ها و داده‌ها کمک می‌کند و ضمن تضمین امنیت آن‌ها باعث می‌شود چالش‌های تجاری مدرن‌تر، به درستی مدیریت شوند.

برای اینکه دقیقا بدانید کاربرد Zero trust در تامین امنیت داده‌ها و شبکه یک سازمان چیست یک مثال می‌زنیم. از زمان همه‌گیری بیماری کرونا تا امروز، تامین امنیت نیروهای دورکار و سطح دسترسی‌های آن‌ها، برای سازمان‌هایی که به دنبال گسترش و توسعه نیروی کار خود هستند، اهمیت بسیار زیادی پیدا کرده است.

از طرفی دیگر، تهدیدات و حملات باج‌افزاری در حال افزایش هستند. زیرو تراست می‌تواند این تهدیدات را قبل از اینکه آسیبی وارد کنند، شناسایی کند؛ تفاوتی ندارد که این تهدیدات بدافزارهای جدید باشند یا بدافزارهای قدیمی تکامل یافته.

چرا رویکرد Zero Trust مهم است؟

سیاست‌های Zero Trust در سطح استراتژیک برای ایجاد، مانیتور و حفظ محیط‌های امن در دسترسی به شبکه‌ها، برنامه‌ها و داده‌ها اتخاذ می‌شوند.

از آنجایی که کاربران به طور فزاینده‌ای در حال تبدیل شدن به تلفن همراه هستند و با تهدیدات سایبری پیچیده مواجه می‌شوند، می‌توان انتظار داشت که سازمان‌ها به سرعت ذهنیت امنیتی Zero Trust را اتخاذ کنند تا گسترش نقض‌ها و عواقب آن را به حداقل برسانند. این امر به ویژه حیاتی است زیرا شرکت‌ها تمایل دارند تعداد نقاط پایانی را در شبکه خود افزایش دهند و زیرساخت‌های خود را به برنامه ها و سرورهای مبتنی بر ابر گسترش دهند.

چگونه MFA می‌تواند در دستیابی به Zero Trust کمک کند؟

در حالی که هیچ راه حل یکسانی برای همه وجود ندارد، برخی از عناصر ضروری برای هر دستگاه Zero Trust، از جمله MFA وجود دارد.

احراز هویت چند عاملی (MFA) یکپارچه از معماری Zero Trust است. در مدل‌های معمولی، کاربران داخل شبکه اغلب به صورت پیش فرض قابل اعتماد هستند. Zero Trust این اعتماد ذاتی را از بین می‌برد و MFA با نیاز به دو یا چند روش راستی آزمایی – چیزی که می‌دانید (رمز عبور)، چیزی که دارید (گوشی تلفن همراه) یا چیزی که هستید (تایید بیومتریک) این را تقویت می‌کند. این امر باعث پیچیدگی فرآیند احراز هویت می‌شود و دسترسی کاربران غیرمجاز را سخت‌تر می‌کند. با درخواست چندین مدرک برای هویت کاربر، MFA تضمین می‌کند که حتی اگر یک عامل (مانند رمز عبور) به خطر بیفتد، لایه‌های اضافی احراز هویت همچنان باید پاک شوند. این امر با اطمینان از کسب و تایید مجدد اعتماد به طور مداوم، فلسفه Zero Trust را تکمیل نموده و امنیت سیستم را به طور قابل توجهی تقویت می‌کند.

با این حال، همه راه‌حل‌های MFA یکسان نیستند، زیرا فناوری‌های پشت آن‌ها کاملا متفاوت هستند. معیارهای مختلفی برای ارزیابی امنیت و تجربه کاربری فروشندگان مختلف وجود دارد.