I ett tidigare inlägg skrev vår säkerhetsexpert Thomas Öberg om användarnas förändrade beteende och hur det inte går att skydda företag som går ut i molnet med höga murar av traditionell IT-säkerhet. Hoten mot företag ökar och då framför allt ID-kapningar. Thomas presenterade i inlägget den nya IT-säkerhetsstrategi Zero Trust. I detta inlägg kan du läsa om vad Zero Trust egentligen är.
Vad är Zero Trust?
Zero Trust är inte en produkt, det är en säkerhetsstrategi som tar ett nytt grepp på IT-säkerhet. Istället för att enbart bygga ett starkt skalskydd stärks säkerheten kring användarna med avancerad teknik där varje inloggning anses osäker tills motsatsen är bevisad.
Hur fungerar Zero Trust?
Enkelt uttryckt: Trust no one, question everything.
En traditionell säkerhetsstrategi lutar sig mot höga murar, det vill säga saker som brandväggar, VPN-uppkopplingar och krypterad wifi. Det är inte ett tillräckligt bra skydd idag med mobila medarbetare och molntjänster. Även hoten har förändrats till att framför allt gälla ID-kapningar.
Med en traditionell säkerhetslösning är det svårt att vara säker på vem som loggar in, är kontot kapat eller inte? Men om du antar att alla kontoton är kapade, alla datorer har virus och alla kopplingar kommer från darknet kommer du skapa en strategi för att hantera det.
Hur kan en Zero Trust-strategi se ut?
En Zero Trust-strategi innehåller en lång rad komponenter. Det kan förenklat beskrivas som en process med flera lager.
- Verifiering av användaren med bland annat multifaktorautentisering, MFA, och rollbaserade användarrättigheter.
- Är enheten uppdaterad, har den virusskydd?
- Verifiera åtkomst. På vilket nätverk är användaren? Vilket land? Hur försöker användaren komma åt data via filhanteraren eller via ett API?
- Verifiera tjänsten som användaren vill logga in på. Är det en on-prem server med ett gammalt AS400 eller en molntjänst?
- Vidare kommer hotbild och skyddsvärdet på datan.
Allt detta genererar signaler som pekar på om användaren går att lita på.
Det låter som en otroligt omfattande uppgift att sätta upp, administrera och övervaka?
Både ja och nej. IT-säkerhet är något som kräver resurser och kan inte göras med vänsterhanden, om du vill ha en säker IT-miljö.
Ja: det är ett otroligt omfattande. Det är i princip omöjligt att manuellt sätta upp och hantera en Zero Trust-liknande miljö i ett traditionellt system.
Nej, med moderna verktyg är det hanterbart: det är enklare än du tror. Med hjälp av Artificiell Intelligens och Machine Learning, som analysera alla signaler för att hitta mönster, blir det möjligt att hantera en Zero Trust-miljö.
Tvingar Zero Trust företag att börja om från början med sitt säkerhetsarbete?
Nej, ett bra skalskydd i form av brandväggar, virusskydd och hanterade enheter krävs fortfarande. Zero Trust är som sagt inte en produkt du installerar utan en strategi som lutar sig mot den säkerhet som finns och som med stöd av AI säkerställer att användarna är den de utger sig för att vara med hjälp av en mängd signaler.
Hur kommer ett företag igång med Zero Trust?
Zero Trust kommer att bygga vidare på många av dina befintliga säkerhetsinvesteringar, så du har troligen redan har gjort framsteg på din säkerhetsresa. Fasa in nya säkerhetstjänster när organisationen är mogen. Till exempel multifaktorautentisering, MFA. Om du slår på allt på en gång blir det jobbigt. Smartast är att göra en stegvis introduktion av nya tjänster och att börja med ID-skyddet som idag är det viktigaste.
Hur kommer det påverka medarbetarna, är det slut med att jobba på café?
Inte alls. Med Zero Trust implementerat blir det säkrare för företaget men med lite omställningar för medarbetarna. Att använda MFA är inte så irriterande när du vant dig och kanske kommer du inte åt känsliga dokument när du sitter på Moskvas flygplats. Besväret för medarbetarna måste ställas mot riskerna. Alternativen är att ta väldigt stora risker eller flytta in allt innanför muren igen.
Är det bara att tuta och köra?
Kom ihåg att Zero Trust är en metodik och en strategi. Du måste jobba med IT-säkerhet hela tiden även när allt är konfigurerat och fungerar. Det uppstår hela tiden nya hot och nya beteenden. Glöm inte utbilda medarbetarna i hur de känner igen hot som phishing och hur de agerar säkert på nätet. Zero Trust är ett sätt att tänka!
____________
Hur långt har ditt företag kommit på sin säkerhetsresa? Är det dags för er att anamma Zero Trust och gå mot en modern säkerhetsstrategi? Läs vår guide om hur IT-säkerheten förändras eller hör av dig så berättar vi mer om hur du kan jobba säkert i molnet.