Zasady projektowania zerowego zaufania

Przy całym zamieszaniu wokół Zero Trust frustrujące jest, gdy sprzedawcy twierdzą, że ich produkt jest „Rozwiązaniem Zero Trust”. Na przykład w poście dzisiejszego ranka mój kontakt podzielił się niektórymi rozwiązaniami technicznymi, które pomogą osiągnąć podejście Zero Trust, ale pominął pierwsze kroki zasad projektowania Zero Trust.

Zgodnie z zasadami zerowego zaufania autorstwa Johna Kindervaga , zaczynasz od następujących rzeczy:
* Zdefiniuj powierzchnię ochronną (którą musisz współpracować z biznesem, aby zrozumieć krytyczne rzeczy do obserwowania)
-> Będzie więcej niż jedna „powierzchnia ochronna” i potencjalnie więcej niż jedną „powierzchnię ochrony” dla danej aplikacji biznesowej
* Odwzoruj przepływy transakcji (co oznacza zrozumienie procesów biznesowych, ich przebiegu i jak najlepiej je zaprojektować, biorąc pod uwagę wszelkie ograniczenia)
->Spójrz na to, co należy chronić , Kto potrzebuje dostępu, Kiedy potrzebują dostępu i Dlaczego potrzebują dostępu.
* Zaprojektuj środowisko zerowego zaufania (co oznacza połączenie powierzchni ochrony, przepływu transakcji i środowiska, które obejmuje zerowy dostęp, otwarty dostęp dla osób/systemów, które nie potrzebują dostępu)
* Stwórz zasady zerowego zaufania (formalny projekt, zarządzanie, podręczniki, reagowanie na incydenty itp., które określą sposób tworzenia systemów)
* Monitorowanie i utrzymywanie (co zapewnia, że ​​zasady Zero Trust są zarządzane, egzekwowane i nadal funkcjonują w sposób zaprojektowany, jeśli nie, proces dla tego chronionego powierzchnię należy przeprojektować).

Jak widać, Zero Trust to strategia projektowa, która prowadzi do czegoś, co można zarządzać i mierzyć. Dodanie narzędzi do stosu nie będzie równoznaczne ze środowiskiem zerowego zaufania, jeśli powierzchnie ochronne i przepływy transakcji nie zostaną zaprojektowane z myślą o zerowym zaufaniu.