Ewolucja Zero Trust: od korporacyjnej architektury do filozofii codziennej higieny

Termin „Zero Trust” budzi dziś skrajne emocje. Dla jednych to korporacyjny żargon dla działów IT, dla innych fundament osobistej higieny cyfrowej. Jak doszło do tej ewolucji i dlaczego filozofia „nie ufaj domyślnie” jest dziś potrzebna każdemu?

Narodziny w korporacji (2010)

W 2010 roku John Kindervag z Forrester Research opublikował raport „No More Chewy Centers”, w którym uknuł termin „Zero Trust”^[1]. Jego spostrzeżenie było proste: tradycyjny model bezpieczeństwa oparty na „zamku i fosie” (twarda skorupa na zewnątrz, miękki środek) nie sprawdza się, gdy atakujący przedostanie się przez zewnętrzne zabezpieczenia. Zamiast tego zaproponował model, w którym cały ruch, nawet wewnątrz firmy, jest traktowany jako niezaufany, a dostęp jest przyznawany dopiero po weryfikacji.

Był to więc termin głęboko korporacyjny, stworzony z myślą o architekturze sieciowej dla przedsiębiorstw.

Kodyfikacja przez NIST (2020)

W 2020 roku amerykański Narodowy Instytut Standardów i Technologii (NIST) opublikował dokument SP 800-207, który formalnie zdefiniował Zero Trust jako „ewoluujący zestaw paradygmatów cyberbezpieczeństwa” dla infrastruktury przemysłowej i korporacyjnej. NIST podkreślił, że Zero Trust nie jest produktem, który można kupić, lecz strategią i zobowiązaniem wymagającym zrozumienia i wdrożenia w całej organizacji^[2].

To właśnie ten dokument ugruntował obecne skojarzenie Zero Trust z działami IT i architekturą sieciową.

Ewolucja w stronę człowieka

Okazuje się jednak, że filozofia „Never trust, always verify” jest uniwersalna. Współczesny świat cyberbezpieczeństwa dawno dostrzegł, że te same zasady, których używają organizacje, doskonale sprawdzają się w codziennym życiu.

Oczywiście w życiu codziennym nie wdrażamy mikrosegmentacji sieci ani korporacyjnych zapór zaplecza. Zapożyczamy z tego modelu samą istotę, czyli zasadę ciągłej weryfikacji i brak domniemanego zaufania. To analogia filozoficzna, a nie dosłowne przenoszenie protokołów z NIST do naszych domów.

NCSC (brytyjski odpowiednik NASK) definiuje Zero Trust jako „nowoczesne podejście bezpieczeństwa, czyli filozofię, która kwestionuje tradycyjne założenie, że wszystko wewnątrz sieci organizacji jest domyślnie zaufane”^[3]. NCSC wyraźnie oddziela filozofię („dlaczego”) od architektury („jak”) i podkreśla, że Zero Trust to strategiczne zobowiązanie, a nie pojedynczy produkt.

Bugcrowd w artykule „The human side of zero trust” pisze o „ludzkim modelu Zero Trust” i o tym, jak „logikę Zero Trust można zastosować do życia społecznego”^[4]. Autorzy przekonują, że skoro w cyberbezpieczeństwie przeszliśmy na Zero Trust, te idee coraz częściej dotyczą również ludzi. W praktyce oznacza to: zakładaj, że wszystko, co udostępniasz online, może stać się publiczne; weryfikuj kontekst i tożsamość; ciągle na nowo oceniaj zaufanie.

Greylock Federal Credit Union w artykule „Stay Vigilant” pisze wprost: „Uważam, że zasada ta powinna mieć zastosowanie do nas osobiście w takim samym stopniu, jak do technologii”^[5]. Autor dodaje: „Wszystko, co wiąże się z Twoimi danymi osobowymi, domem lub pieniędzmi, lub cokolwiek choćby lekko nieoczekiwanego, powinno wywołać moment zero trust”.

Forbes Technology Council w artykule o higienie cyfrowej radzi wprost: „Przyjmij nastawienie Zero-Trust (Adopt a Zero-Trust Mindset)”, które obejmuje rozdzielanie aktywności prywatnej i zawodowej, unikanie nieznanych sieci Wi-Fi oraz włączanie uwierzytelniania wieloskładnikowego^[6].

Zero Trust nie jest produktem

Warto w tym miejscu podkreślić jedną rzecz: Zero Trust to nie jest produkt, który można kupić, ani pojedyncze narzędzie do zainstalowania. NCSC ostrzega, że marketingowe twierdzenia niektórych dostawców, którzy sugerują, że ich produkty są ZT, są mylące. W rzeczywistości ZT nie jest pojedynczym produktem, to strategiczne zobowiązanie^[7].

To rozróżnienie jest kluczowe. Zero Trust to sposób myślenia, filozofia, którą można wdrożyć zarówno w korporacji, jak i w domu. Architektura jest tylko jednym ze sposobów realizacji tej filozofii w praktyce.

Od czego zacząć? Praktyczny wymiar Zero Trust

Skoro Zero Trust to filozofia, jak wdrożyć ją w codziennym życiu? Oto kilka praktycznych zasad, zaczerpniętych z przywołanych źródeł:

• Zakładaj, że wszystko, co udostępniasz online, może stać się publiczne (Bugcrowd). Zanim opublikujesz zdjęcie lub komentarz, pomyśl, czy chcesz, żeby zobaczył to przyszły pracodawca.
• Weryfikuj kontekst i tożsamość (Bugcrowd). Nie zakładaj, że e-mail od „banku” rzeczywiście pochodzi z banku. Sprawdź nadawcę, link i certyfikat.
• Ciągle na nowo oceniaj zaufanie (Bugcrowd). To, co było bezpieczne wczoraj, może być zagrożeniem dzisiaj. Regularnie przeglądaj uprawnienia aplikacji i aktualizuj oprogramowanie.
• Rozdzielaj aktywności prywatne i zawodowe (Forbes). Nie używaj tego samego adresu e-mail do banku i do newslettera z memami.
• Unikaj nieznanych sieci Wi-Fi (Forbes). Kiedy łączysz się z publiczną siecią, nie masz pojęcia, kto może przechwytywać Twój ruch.
• Wdrażaj uwierzytelnianie wieloskładnikowe (MFA) (Forbes). Nawet jeśli ktoś zdobędzie Twoje hasło, bez drugiego składnika nie zaloguje się na Twoje konto.
• Zatrzymaj się i pomyśl, zanim klikniesz (Greylock). Oszuści chcą, żebyś działał szybko i pod wpływem emocji. Zwolnij, zweryfikuj i dopiero wtedy podejmij decyzję.

Podsumowanie

Zero Trust narodziło się w korporacji jako odpowiedź na zawodność tradycyjnych modeli bezpieczeństwa sieciowego. Przez dekadę przeszło jednak ewolucję: od architektury dla działów IT do filozofii, którą każdy z nas może wdrożyć w codziennym życiu.

Dla mnie, jako autora bloga o cyfrowej higienie, Zero Trust to przede wszystkim nastawienie: nie ufaj domyślnie, weryfikuj, kontroluj to, co wychodzi z Twojego urządzenia. To dokładnie ta sama zasada, którą kieruję się w moim manifeście distrust.pl. Nie jest to jednak wdrażanie korporacyjnych standardów sieciowych, a świadome przeniesienie ich filozofii na grunt codziennych decyzji.

Nie musisz być korporacją, żeby myśleć jak Zero Trust. Wystarczy, że zaczniesz od siebie.

Przypisy