قانون مورفی می‌گوید «اگر یک چیزی بتواند اشتباه باشد، اشتباه خواهد شد». امنیت مدت‌هاست که این مانترا را پذیرفته است و در مقابل آن تکنیک « اعتماد صفر » را ارائه داده است.
اعتماد صفر چیست؟
- همیشه فرض کنید یک نقض رخ داده است
- به هیچ کسی اعتماد نکنید
- همه چیز را تائید کنید
حتی پس از تأیید هویت کاربر، کاربر مورد نظر هنوز «شاه‌کلید» را ندارد. رویکرد اعتماد صفر دسترسی کامل کاربر را رد می‌کند و در عوض تصمیم می‌گیرد هویت کاربران را لایه به لایه، مرحله به مرحله و به طور مداوم تائید کند. با استفاده از تقسیم‌بندی شبکه و ایجاد محیط‌های کوچک، معیارهای اعتماد صفر تنها زمانی به کاربران اجازه دسترسی به دارایی‌ها را می‌دهند که دلیل معتبری برای این کار ارائه شود.
چطور باید شروع کرد؟
درک این نکته ضروری است که بدانیم اعتماد صفر یک تکنولوژی نیست، بل یک سفر است. این شامل ابزارها و فرایند‌های مورد نیاز برای ایجاد محیطی است که برای اعطای دسترسی به داده‌ها نیاز به اعتبارسنجی کامل دارد.
فکر کردن به اعتماد صفر
برای اینکه بتوانیم این متدلوژی را در شرکت یا سازمان پیدا کنیم، یک رویکرد عملگرایانه و گام به گام می‌تواند به موفقیت بهتری منجر شود نسبت به اینکه تصمیم بگیریم کل زیرساخت را در یک زمان تغییر دهیم. بعنوان مثال اینگونه شروع کنید:
- از چه چیزهایی باید محافظت کنیم؟ این می‌تواند شامل منابع انسانی، سیستم‌ها، نرم‌افزار‌ها، دارایی‌ها و داده‌های حیاتی باشد.
- در برابر چه چیزی باید محافظت کنیم؟ ممکن است کاربران دارای امتیازات و دسترسی‌های بیش از نیازشان باشند. پالیسی رمزعبور مناسبی وجود ندارد. تهدید‌‌های خارجی می‌تواند یک عامل مهم دیگر باشد. تمام نقاظ ضعیف را لیست و آن‌ها را اولویت بندی کنید.
- یک نقطه شروع پیدا کنید.
اعتماد صفر در حال حاضر کاری را انجام می‌دهد که ما آنقدر ساده لوح بودیم که در شروع اینترنت انجام ندادیم. آنچه مهم است را تعریف کنید و نحوه دفاع صحیح از آن را بیابید. از آنجایی که ما معماری‌های قدیمی را به شیوه‌ای جدید از امنیت تجهیز می‌کنیم، قبل از اینکه چیزی کاملاً «اعتماد صفر» در نظر گرفته شود، باید مراحل کوچک‌تر و سفارشی‌سازی‌های زیادی انجام شود.
در هر حال هر سفر با یک قدم شروع می‌شود.
مدیریت آسیب‌پذیری: ستون فقرات یک استراتژی اعتماد صفر
اولین گام این است که نقاط ضعف را مشخص کنیم. هنگامی که سازمان ها پارامترهای نیاز به محافظت و تهدید‌ها را مشخص و تعریف کردند، مدیریت آسیب پذیری قدم بعدی خواهد بود.
استفاده از چهارچوب اعتماد صفر
- اصول اعتماد صفر را بشناسید. دامنه سازمان و داراییهای آن را بشناسید و یک تیم را گرد هم بیاورید. شما باید بدانید که با چه چیزی کار می‌کنید.
-
داراییهای خود را طبقه بندی کنید. مناطق حفاظتی خود را بر اساس اهمیت دارایی سازماندهی کنید. بعد از اینکه گروه‌ها یا طبقه بندی داراییهای کم، متوسط و زیاد را ایجاد کردید، شروع به الویت بندی کنید.
-
یک مجموعه اولیه از دارایی ها را برای شروع انتخاب کنید. ابتدا از دارایی یا داده‌هایی که بیشترین اهمیت را دارند محافظت کنید. کارهای امنیتی اعتماد صفر برای بقیه موارد را تا زمانی که این کار انجام شود، متوقف کنید.
-
کنترل‌های امنیتی اولیه را اجرا کنید. برای زیرگروهی که برای شروع انتخاب کرده‌اید آزمایش، فرایند‌ها، راه‌حل‌ها، و رویه‌ها را انتخاب و آغاز کنید.
- عملکرد کنترل‌های خود را ارزیابی کنید. به طور مداوم مطمئن شوید که پیاده سازی‌های شما مطابق انتظار اجرا می‌شوند.
- به سیستم‌ها مجوز بدهید.مدیر ارشد سیستم‌های امنیتی، برنامه‌های حفظ حریم خصوصی و کل عملیات تا کنون را امضا می‌کند.
-
نتایج را مانیتور و در صورت نیاز اصلاح کنید. از روز اول به طور مداوم بر پیاده سازی‌های اعتماد صفر نظارت داشته باشید. انحرافات را بررسی کنید، اقدامات را بر اساس شرایط انجام شده آغاز کنید، و موارد مثبت کاذب کشف شده در نظارت را کاهش دهید.
مزایای فریم‌ورک اعتماد صفر
اتخاذ رویکرد اعتماد صفر در نهایت سطح حمله و احتمال حمله را کاهش می دهد. سایر مزیت‌های این چهارچوب عبارتنداز:
- پشتیبانی از استانداردها
- کاهش خطر نقض داده‌ها
- کنترل بهتر دسترسی ابری
منبع: https://www.fortra.com/blog/zero-trust-101-a-guide-to-zero-trust-security
