A Zero Trust biztonság lényege egyszerűen összefoglalható: ne bízzunk meg automatikusan senkiben és semmiben csak azért, mert „cégen belülről” érkezik. A hagyományos gondolkodás sokáig arra épült, hogy van egy védett belső hálózat, kívül pedig az internet. Ma viszont a munkatársak otthonról, mobilról, felhős rendszerekből, külsős partnerekkel és többféle eszközről dolgoznak. Ilyen környezetben a régi, kizárólag peremvédelemre és VPN-re épülő modell könnyen kevésnek bizonyul.
Miért nem elég önmagában a VPN?
A VPN továbbra is hasznos eszköz lehet: titkosított kapcsolatot ad a felhasználó és a céges hálózat között. A probléma ott kezdődik, ha a VPN belépés után túl sok mindenhez enged hozzáférést. Ha egy felhasználói fiók kompromittálódik, vagy egy fertőzött laptop csatlakozik, a támadó sok esetben már „belső” szereplőként mozoghat tovább.
Ez különösen kis- és középvállalkozásoknál jelent kockázatot, ahol gyakran vegyes az infrastruktúra: van helyi fájlszerver, felhős levelezés, távoli asztal, webes ügyviteli rendszer, VPS-en futó alkalmazás és külsős rendszergazdai hozzáférés is. Ilyenkor a céges hálózatvédelem nem állhat meg annál, hogy „van tűzfal és VPN”. A kérdés inkább az: ki, mikor, honnan, milyen eszközről, pontosan mihez férhet hozzá?
Mit jelent a Zero Trust a gyakorlatban?
A Zero Trust vállalkozásoknak nem egyetlen dobozos termék, hanem működési szemlélet és technológiai megoldások együttese. Nem kell mindent egyszerre lecserélni, és nem csak nagyvállalati környezetben van értelme. Már néhány alapelv bevezetése is jelentősen rendezettebbé teheti az IT-biztonsági működést.
- Mindig ellenőrizzünk: a belépést ne csak jelszó alapján engedjük, hanem többtényezős hitelesítéssel, eszközállapot-ellenőrzéssel és jogosultsági szabályokkal.
- Legkisebb jogosultság elve: mindenki csak ahhoz férjen hozzá, amire a munkájához tényleg szüksége van.
- Hozzáférés alkalmazásszinten: ne a teljes belső hálózatot nyissuk meg, hanem konkrét rendszerekhez adjunk célzott hozzáférést.
- Folyamatos felülvizsgálat: a jogosultságokat ne egyszer állítsuk be, majd felejtsük el, hanem rendszeresen ellenőrizzük.
VPN alternatíva vagy VPN mellé épülő védelem?
A Zero Trust gyakran kerül elő úgy, mint VPN alternatíva, de a gyakorlatban nem mindig az a cél, hogy a VPN-t azonnal megszüntessük. Sok cégnél életszerűbb az átmenet: a legkritikusabb rendszereknél már alkalmazásszintű hozzáférés-kezelés működik, miközben bizonyos adminisztrációs vagy karbantartási feladatokra a VPN megmarad, szigorúbb szabályokkal.
Például egy könyvelő kollégának nem feltétlenül kell belépnie a teljes irodai hálózatba ahhoz, hogy elérje az ügyviteli rendszert. Egy külsős fejlesztőnek sem kell minden szerverhez hozzáférnie, ha csak egy VPS-en futó tesztkörnyezetet kezel. Egy rendszergazdai fióknál pedig indokolt lehet az időkorlátos hozzáférés, a naplózás és a külön jóváhagyási folyamat.
Hozzáférés-kezelés: itt dől el a biztonság nagy része
A hozzáférés-kezelés a Zero Trust egyik kulcsterülete. Sok incidens nem bonyolult technikai támadással kezdődik, hanem ellopott jelszóval, újrahasznált belépési adatokkal vagy elfelejtett, már nem használt fiókokkal. Ezért érdemes rendet tenni a felhasználók, csoportok, jogosultságok és adminisztrátori hozzáférések között.
Gyakorlati lépések, amelyek egy kisebb vállalkozásnál is megvalósíthatók:
- kötelező többtényezős hitelesítés bevezetése levelezéshez, adminfelületekhez és távoli hozzáféréshez;
- külön adminisztrátori fiókok használata, nem napi munkára használt felhasználókkal;
- kilépő munkatársak fiókjainak azonnali tiltása, eszközeinek visszavonása;
- megosztott jelszavak megszüntetése, jelszókezelő használata;
- rendszeres jogosultsági audit: kinek mihez van hozzáférése, és ez indokolt-e.
Eszközök, szerverek és webes rendszerek védelme
A Zero Trust biztonság nem csak a felhasználókról szól. Ugyanilyen fontos, hogy milyen állapotban vannak az eszközök és a kiszolgálók. Egy frissítetlen laptop, egy elhanyagolt WordPress oldal, egy rosszul konfigurált VPS vagy egy nyitva hagyott adminfelület mind belépési pont lehet.
Érdemes külön figyelmet fordítani a szerveroldali hozzáférésekre: SSH-kulcsok használata jelszavas belépés helyett, IP-alapú korlátozás, naplózás, rendszeres frissítés, biztonsági mentés és jogosultságok szétválasztása. Weboldal-üzemeltetésnél ugyanez igaz a CMS-felhasználókra, bővítményekre, tárhely- vagy VPS-hozzáférésekre is. Nem minden marketingesnek, fejlesztőnek vagy külsős partnernek kell teljes adminisztrátori jogosultság.
IT biztonság kisvállalkozásoknak: hogyan érdemes elkezdeni?
Az IT biztonság kisvállalkozásoknak akkor működik jól, ha nem túlbonyolított, hanem következetes. A Zero Trust bevezetését célszerű felméréssel kezdeni: milyen rendszereket használ a cég, kik férnek hozzá, honnan dolgoznak, milyen eszközökkel, és mi történik, ha egy fiók vagy gép kompromittálódik.
Ezután érdemes priorizálni. Első körben a levelezést, a felhős fiókokat, a pénzügyi rendszereket, a szerveradminisztrációt és az ügyféladatokat kezelő alkalmazásokat kell védeni. Nem feltétlenül a legdrágább megoldás a legjobb, hanem az, amelyik illeszkedik a cég működéséhez, és valóban használni is fogják a munkatársak.
A Zero Trust nem varázspajzs, hanem fegyelmezettebb hozzáférési és üzemeltetési modell. Aki ma rendet tesz a jogosultságokban, bevezeti a többtényezős hitelesítést, korlátozza a távoli hozzáféréseket, frissíti a rendszereit és rendszeres adatmentést használ, már komoly lépést tesz egy biztonságosabb, átláthatóbb céges IT-környezet felé.
