Zero Trust: как внедрить принцип нулевого доверия в компанию

Россия входит в пятерку стран, где регулярно происходят утечки информации. Чаще данные похищают только в Испании, Индии, Китае и США. Чтобы обезопасить себя, бизнес внедряет новые способы защиты. Один из них — Zero Trust.

Zero Trust в основном применяет крупный бизнес, малые и средние компании используют такую защиту нечасто. По данным британской платформы Expert Insights, 43% крупных компаний уже применяют принципы Zero Trust, а 46% — в процессе внедрения. В исследовании участвовали более 2 200 руководителей ИТ‑подразделений.

«В России уже давно используют Zero Trust. Это можно заметить по срокам активных сессий в различных приложениях и сервисах, например на Госуслугах.
Компании начинают более пристально следить за активностью пользователей: когда появляются даже незначительные подозрения, доступ отзывают и требуют авторизоваться снова.
Особенно это заметно в банковских приложениях, где в последнее время для каждой финансовой операции могут требоваться дополнительные уровни аутентификации.
В последние годы многие пользователи используют VPN, а для сервиса это выглядит подозрительно. Бизнесу нужно сохранять баланс между безопасностью и удовлетворительным уровнем сервиса».

Виталий Никольский

ИТ‑разработчик с 20‑летним стажем

Т‑Бизнес секреты разобрались, что такое Zero Trust, зачем он нужен бизнесу и какие особенности у этого способа защиты.

Что такое Zero Trust

Zero Trust — способ защиты информационных ресурсов бизнеса. Цель Zero Trust — снизить риски утечки данных и хакерских атак за счет строгой проверки каждого запроса.

Когда бизнес внедряет Zero Trust, доступ к данным и системам получают только проверенные пользователи и устройства, даже если они находятся внутри корпоративной сети.

Традиционная модель кибербезопасности предполагает, что все внутри сети компании безопасно. Zero Trust, наоборот, считает, что угроза может исходить откуда угодно — как извне, так и изнутри.

Главные принципы Zero Trust:

постоянная проверка личности и прав доступа;
минимальный доступ только к нужным ресурсам;
контроль и анализ всех действий в сети.

«Основной принцип Zero Trust: никогда не доверяй, всегда проверяй. Подход можно сравнить с системой безопасности в аэропорту. Пассажиры на входе уже прошли рамки металлоискателя и пост охраны, но внутри аэропорта каждого ждет дополнительный осмотр и проверка документов перед посадкой».

Сергей Рожков

Специалист по ИТ‑безопасности

Зачем бизнесу применять Zero Trust

Новый способ информационной защиты дает такие преимущества:

усиление ИТ‑безопасности и защита от внешних угроз;
простое управление доступом;
безопасный доступ для удаленных сотрудников;
устранение простоев и нестабильной работы.

Усиление ИТ‑безопасности и защита от внешних угроз. Zero Trust предполагает регулярную проверку пользователя, когда тот запрашивает доступ к каким‑то ресурсам бизнеса. Например, авторизация по коду из СМС, когда пользователю нужен сайт, файлы с диска или другие ресурсы компании.

Для пользователей часто вводить код из СМС не очень удобно, зато для бизнеса это дополнительная мера защиты.

Простое управление доступом. Чтобы разграничить доступ внутри корпоративной сети, нужны специальные настройки для всех устройств. Если сотрудники используют только рабочие компьютеры, это несложно. Но если разрешить доступ с личных смартфонов, планшетов и ПК, управлять такой политикой будет намного сложнее.

Если внедрить Zero Trust, можно подключить разные способы авторизации, чтобы разграничить права доступа. Например, авторизация по СМС при подключении к корпоративному порталу, проверка через электронную почту для доступа во внутренний мессенджер или подтверждение личности через камеру, чтобы скачать файл из облачного хранилища компании.

Безопасный доступ для удаленных сотрудников. Когда нужно дать доступ к файлам, приложениям или сервисам для сотрудников на удаленке, обычно бизнес использует VPN. Сотрудникам выдают данные для подключения к корпоративной сети.

VPN может замедлять подключение и работать нестабильно. Бизнесу нужно платить за работу сервиса, учетные данные пользователей могут стать известны третьим лицам.

Zero Trust предполагает отказ от VPN. Вместо этого удаленные сотрудники при подключении к корпоративным ресурсам каждый раз проходят авторизацию — подтверждают личность по почте, СМС, с помощью веб‑камеры или другим способом.

Затраты бизнеса на такую систему защиты меньше, а злоумышленникам сложнее ее обойти.

«Количество утечек данных резко выросло в коронавирусные времена. Многие компании быстро переходили на удаленку, чтобы сохранить бизнес и не потерять свою нишу. Не все смогли или захотели организовать надежную защиту данных.
Многие до сих пор работают на авось и надеются, что мошенники или конкуренты не попытаются похитить их данные».

Сергей Рожков

Специалист по ИТ‑безопасности

Устранение простоев и нестабильной работы. Обычно для защиты информационных ресурсов бизнес использует VPN, ограничение по IP‑адресу, файрвол или систему разграничения прав пользователей. Все это нагружает инфраструктуру компании, может работать нестабильно или ломаться.

Альтернатива в виде Zero Trust предлагает использовать сервис проверки пользователей. Это может быть внутренний сервис компании или внешний от подрядчика. Такие решения меньше нагружают инфраструктуру бизнеса. Если использовать несколько независимых сервисов, вероятность одновременного отказа будет минимальной.

У Zero Trust есть и другие преимущества, которые зависят от сферы, уровня автоматизации и других особенностей бизнеса. Например, Zero Trust помогает свести к минимуму утечку чувствительной информации, быстрее находить и устранять угрозы, повышать доверие бизнес‑партнеров и клиентов.

Актуальные статьи и свежие тренды

Как понять, нужен ли Zero Trust

Перед тем как внедрять Zero Trust, проверьте, подходит ли он вашему бизнесу:

есть ли свой ИТ‑отдел;
есть ли план ИТ‑инфраструктуры бизнеса;
есть ли критически важные данные для защиты;
готовы ли сотрудники к дополнительным мерам безопасности;
есть ли ресурсы, чтобы внедрить систему.

Есть ли свой ИТ‑отдел. Если у бизнеса нет ИТ‑отдела, а задачи выполняет приходящий системный администратор, внедрить Zero Trust будет сложно. Систему нужно активно поддерживать и развивать, а не устранять проблемы, когда они накопятся или когда приходящий сотрудник будет свободен.

«Малому бизнесу без своего ИТ‑отдела можно использовать SaaS — облачные решения от сторонних компаний. Следить за доступом и решать возникающие проблемы будет подрядчик.
Среднему и крупному бизнесу со своей ИТ‑инфраструктурой нужно искать баланс между удобством для пользователей и безопасностью. Это сложная задача, особенно если инфраструктура распределенная.
Многие компании пренебрегают некоторыми методами обеспечения безопасности, например не разворачивают изолированную сеть — DMZ — для внешних сервисов и различных политик доступа».

Виталий Никольский

ИТ‑разработчик с 20‑летним стажем

Есть ли план ИТ‑инфраструктуры бизнеса. Чтобы внедрить Zero Trust, нужно понимать, где хранятся данные и ресурсы бизнеса и откуда к ним получают доступ пользователи. Например, если база клиентов на рабочем компьютере руководителя, отчетность — на личном ноутбуке бухгалтера, а документы для сотрудников — в бесплатном облачном сервисе, настроить и применять Zero Trust вряд ли получится.

Есть ли критически важные данные для защиты. Нужно понимать, какие данные будете защищать по методу Zero Trust. Это могут быть персональные данные клиентов, интеллектуальная собственность или разработки бизнеса, бухгалтерские или управленческие документы. Например, если бизнес работает по франшизе и все уязвимые данные обрабатывает главный филиал, внедрять Zero Trust не нужно.

Готовы ли сотрудники к дополнительным мерам безопасности. Если в компании низкий уровень информационной грамотности, много возрастных сотрудников или все работают удаленно, организовать Zero Trust будет сложно. Постоянные проверки личности будут сильно замедлять рабочий процесс, некоторые сотрудники могут саботировать новые правила, производительность труда может снизиться.

Есть ли ресурсы, чтобы внедрить систему. Zero Trust по карману среднему и крупному бизнесу, небольшим компаниям и ИП внедрить защиту будет дорого. Нужно потратить время и деньги, чтобы спроектировать новую систему, поэтапно ввести ее в эксплуатацию, найти и устранить недостатки, обучить сотрудников.

«Организовать систему Zero Trust можно даже на базе умного дома или офиса. Сейчас популярны так называемые self‑hosted homelabs — домашние лаборатории на базе доступных, иногда старых серверов и ПК.
В качестве программного обеспечения можно использовать бесплатные решения с открытым исходным кодом, например сервисы Cloudflare или Traefik.
Так можно за небольшую цену построить систему многоуровневой безопасности».

Виталий Никольский

ИТ‑разработчик с 20‑летним стажем

Как внедрить Zero Trust в своем бизнесе: пошаговый план

Составили план, как внедрить Zero Trust в бизнесе:

Оцените свою ИТ‑инфраструктуру.
Определите границы и приоритеты.
Внедрите принцип минимальных привилегий.
Настройте строгую аутентификацию.
Разграничьте сеть и создайте микросегментацию.
Настройте постоянный мониторинг.
Обучите сотрудников.
Постепенно масштабируйте систему защиты.

Шаг 1. Оцените свою ИТ‑инфраструктуру. Проведите аудит всех пользователей, устройств, приложений и сервисов. Определите, где находятся критически важные данные и как к ним получают доступ.

Например, на корпоративном портале могут быть только новости и общая информация о бизнесе, это не обязательно защищать по принципу Zero Trust. А в CRM‑системе есть данные о клиентах, поставщиках и заказах компании, здесь нужна улучшенная защита.

Шаг 2. Определите границы и приоритеты. Выделите наиболее важные ресурсы: CRM, бухгалтерию, систему хранения персональных данных клиентов. Расставьте приоритеты для пошаговой защиты от более важных данных к менее важным.

В первую очередь применяйте Zero Trust в системах, из‑за утечек в которых бизнес не сможет работать, рискует получить штраф или репутационные потери. Например, система хранения данных клиентов.

«В последние годы чаще всего утечки данных происходят в системах, где хранятся клиентские данные. Информацию похищают у торговых площадок, сервисов доставки или такси.
Многие компании легкомысленно относятся к хранению чувствительных данных: информации о сотрудниках, клиентах или бизнес‑партнерах. Лучше всего начать внедрение Zero Trust с этой ниши».

Виталий Никольский

ИТ‑разработчик с 20‑летним стажем

Шаг 3. Внедрите принцип минимальных привилегий. Выдайте всем сотрудникам только тот доступ, который нужен для работы. Можно начать с минимального набора прав и расширять их при необходимости.

В будущем получится создать набор прав для разных сотрудников: бухгалтера, кладовщика, менеджера по продажам, экономиста. Когда будете нанимать новых сотрудников, сможете сразу выдавать им необходимый набор прав.

Шаг 4. Настройте строгую аутентификацию. Включите многофакторную аутентификацию для доступа к важным ресурсам бизнеса. Применяйте одноразовые коды, биометрию или аппаратные ключи защиты.

Шаг 5. Разграничьте сеть и создайте микросегментацию. Разделите внутреннюю сеть бизнеса на сегменты: отделы, подразделения или функции компании. Доступ между сегментами должен быть только по необходимости и с дополнительной проверкой.

Шаг 6. Настройте постоянный мониторинг. Проверяйте список устройств, которые подключаются к ресурсам бизнеса, и ведите учет действий пользователей. Такой контроль позволит быстро заметить попытку несанкционированного доступа или подозрительную активность.

Шаг 7. Обучите сотрудников. Проводите регулярные тренинги по цифровой гигиене и защите данных. Рассказывайте, почему бизнесу нужно повышать защищенность своих данных.

Если сотрудникам объяснить, зачем ввели жесткие меры защиты, они будут лучше соблюдать требования бизнеса.

«Чаще всего данные похищают из‑за дыр в инфраструктуре или из‑за неосторожности сотрудников. Именно с сотрудниками нужно работать в первую очередь, это быстрее и проще для бизнеса.
Несерьезно к информационной безопасности часто относятся зумеры. Они не хотят обучаться, не соблюдают меры предосторожности, жалуются на многоуровневые проверки и хотят, чтобы все было просто.
Нужно забрать у таких сотрудников доступы, которые им не нужны, и объяснить необходимость мер по защите данных».

Виталий Никольский

ИТ‑разработчик с 20‑летним стажем

Шаг 8. Постепенно масштабируйте систему защиты. Начинайте с одного сегмента, например бухгалтерии или ИТ‑отдела. Проверяйте результат, устраняйте недочеты и внедряйте систему защиты дальше.

В зависимости от размеров и сферы бизнеса порядок шагов может меняться.

Подпишитесь на рассылки

Собираем самые полезные материалы, интересные мероприятия и важные новости в коротких письмах. Вы можете подписаться на одну из рассылок или на все сразу.