โมเดลความปลอดภัย Zero Trust ไม่ได้เป็นเรื่องใหม่ มันอยู่มาตั้งแต่ John Kindervag จาก Forrester Research เขียนเอกสาร "No More Chewy Centers: Introducing the Zero Trust Model of Information Security" ในปี 2010
แนวทาง Zero Trust พัฒนาจากความเชื่อที่ว่า ไม่มีผู้ใช้หรือแอปพลิเคชันที่ควรได้รับความไว้วางใจโดยธรรมชาติ แม้แต่ผู้ที่อยู่ภายในเส้นรอบรูปเครือข่ายแล้ว
ความคิดนี้ได้รับการยอมรับจากบริษัทและองค์กรใหญ่อย่าง Google, Coca-Cola และ NSA เพื่อต่อสู้กับภัยคุกคามไซเบอร์ที่เพิ่มขึ้น อย่างไรก็ตาม ยังมีอุปสรรคที่ขัดขวางการนำไปใช้อย่างแพร่หลาย
ความเชื่อผิดๆ เกี่ยวกับ Zero Trust Security
เมื่อความสนใจขององค์กรในแนวทางโมเดล Zero Trust เพิ่มขึ้น ความเข้าใจผิดบางอย่างเกี่ยวกับหลักการพื้นฐานของเฟรมเวิร์กได้ขวางทางการนำไปใช้ นี่คือความเชื่อผิดๆ ที่คุณไม่ควรเชื่อ
ความเชื่อผิดที่หนึ่ง: Zero Trust สร้างวัฒนธรรม عدمความไว้วางใจ
ความเข้าใจผิดทั่วไปเกี่ยวกับ Zero Trust คือมันส่งเสริมความคิดที่ไม่ไว้วางใจพนักงานของคุณ แม้เฟรมเวิร์ก Zero Trust จะต้องการให้บริษัทตรวจสอบผู้ใช้ที่เข้าถึงทรัพยากรเครือข่าย แต่ไม่ควรแปลว่ามันเป็นเรื่องส่วนตัว
ข้อเท็จจริงคือ ความไว้วางใจแสดงถึงช่องโหว่ที่สามารถวางองค์กรของคุณในความเสี่ยงของการโจมตี นักอาชญากรไซเบอร์ใช้ประโยชน์จากความไว้วางใจโดยเฉพาะเพื่อเป็นเป้าหมายบริษัท และ Zero Trust เสนอวิธีลดทอนสิ่งนี้ มันเทียบเท่าการเข้าผ่านบัตรเข้าแทนการอนุญาตให้ทุกคนเข้าอาคาร
ด้วยการใช้ Principle of Least Privilege (POLP) องค์กรสามารถปรับแต่งนโยบายเกณฑ์ของพวกเขาได้ เพื่อให้ผู้ใช้ได้รับการเข้าถึงเฉพาะทรัพยากรที่พวกเขาต้องการ ตามความไว้วางใจที่พวกเขาได้รับ
ความเชื่อผิดที่สอง: Zero Trust เป็นผลิตภัณฑ์
Zero Trust เป็นกลยุทธ์หรือเฟรมเวิร์ก ไม่ใช่ผลิตภัณฑ์ มันสร้างขึ้นรอบความคิดที่ไม่ไว้วางใจและตรวจสอบตลอดเวลา
ผลิตภัณฑ์ต่างๆ ที่เสนอโดยผู้ขายสามารถช่วยบรรลุ Zero Trust ได้ อย่างไรก็ตาม พวกเขาไม่ใช่ผลิตภัณฑ์ Zero Trust พวกเขาเป็นเพียงผลิตภัณฑ์ที่ทำงานได้ดีในสภาพแวดล้อม Zero Trust ดังนั้น หากผู้ขายขอให้คุณซื้อผลิตภัณฑ์ Zero Trust ของพวกเขา นั่นเป็นสัญญาณว่าพวกเขาไม่เข้าใจแนวคิดพื้นฐาน
เมื่อผสานรวมอย่างถูกต้องกับสถาปัตยกรรม Zero Trust ผลิตภัณฑ์ต่างๆ สามารถลดพื้นที่โจมตีและจำกัดรัศมีการระเบิดในกรณีการรั่วไหลได้อย่างมีประสิทธิภาพ เมื่อนำไปใช้เต็มที่ โซลูชัน Zero Trust พร้อมการยืนยันต่อเนื่องสามารถกำจัดพื้นที่โจมตีได้โดยสิ้นเชิง
ความเชื่อผิดที่สาม: มีเพียงหนึ่งวิธีในการนำ Zero Trust ไปใช้
Zero Trust เป็นชุดหลักการความปลอดภัยที่เกี่ยวข้องกับการยืนยันต่อเนื่อง การเข้าถึง Principle of Least Privilege และการลดพื้นที่โจมตี
ตลอดหลายปี สองแนวทางได้ nổiขึ้นเพื่อเริ่มต้นกับโมเดล Zero Trust แนวทางแรกเริ่มจากตัวตนและเกี่ยวข้องกับ multi-factor authentication ซึ่งให้ผลลัพธ์รวดเร็ว
แนวทางที่สองเป็น network-centric และเริ่มจาก network segmentation แนวคิดเกี่ยวข้องกับการสร้าง network segments เพื่อควบคุมトラフィคภายในและระหว่างเซ็กเมนต์เหล่านั้น Network admins สามารถรักษาการอนุญาตแยกต่างหากให้แต่ละ segment ได้ ดังนั้น จำกัดการแพร่กระจายของภัยคุกคามข้างเคียงในระบบ
ความเชื่อผิดที่สี่: Zero Trust บริการเฉพาะองค์กรใหญ่
Google เป็นหนึ่งในบริษัทแรกที่ปรับใช้สถาปัตยกรรม Zero Trust ตอบสนองต่อ Operation Aurora ในปี 2009 นี่เป็นชุดการโจมตีที่มุ่งเป้าองค์กรใหญ่อย่าง Google, Yahoo, Morgan Stanley และ Adobe Systems
เมื่อ Google นำโมเดล Zero Trust ไปใช้ทันทีหลังการโจมตี ธุรกิจจำนวนมากคิด (และยังคิดอยู่) ว่ามันใช้ได้เฉพาะองค์กรใหญ่ แนวคิดนี้จะถูกต้องก็ต่อเมื่อการโจมตีไซเบอร์จำกัดอยู่แค่องค์กรใหญ่ ซึ่งไม่ใช่ความเป็นจริง ในความเป็นจริง ประมาณ 46 เปอร์เซ็นต์ของการรั่วไหลข้อมูลในปี 2021 มุ่งเป้าถึงธุรกิจขนาดเล็ก
แม้สื่อมักจะครอบคลุมการรั่วไหลข้อมูลที่ส่งผลต่อองค์กรใหญ่ ไม่มีข้อสงสัยว่าธุรกิจขนาดเล็กก็ต้องการการปกป้องจากการโจมตีไซเบอร์เช่นกัน
ข่าวดีคือ องค์กรขนาดเล็กไม่ต้องทำลายธนาคารเพื่อนำโมเดล Zero Trust ไปใช้ เนื่องจากมันไม่ใช่ผลิตภัณฑ์ ธุรกิจสามารถนำเข้าได้อย่างค่อยเป็นค่อยไป โดยจัดสรรการลงทุนรายปีที่ปานกลางในสถาปัตยกรรม Zero Trust
ความเชื่อผิดที่ห้า: Zero Trust ขัดขวางประสบการณ์ผู้ใช้
หนึ่งในอุปสรรคต่อการนำ Zero Trust ไปใช้ คือผลกระทบที่รับรู้ต่อประสบการณ์ผู้ใช้ เข้าใจได้ที่จะสมมติว่าผลิตภาพและความคล่องตัวของผู้ใช้จะติดลบเมื่อยืนยันตัวตนผู้ใช้อย่างต่อเนื่อง อย่างไรก็ตาม เมื่อนำไปใช้อย่างเหมาะสม Zero Trust สามารถมอบประสบการณ์ที่เป็นมิตรกับผู้ใช้ได้
องค์กรสามารถประเมินโปรไฟล์ผู้ใช้และรวมการยืนยันตัวตนแบบอิงความเสี่ยงกับ machine learning เพื่อระบุความเสี่ยงและตัดสินใจเข้าถึงอย่างรวดเร็ว หากความเสี่ยงสูง ระบบอาจต้องการขั้นตอนการยืนยันตัวตนเพิ่มเติมหรือบล็อกการเข้าถึงเพื่อปกป้องทรัพยากรของมัน ในทางตรงข้าม มันสามารถกำจัดการท้าทายการยืนยันตัวตนได้หากความเสี่ยงต่ำ
แนวทาง Zero Trust ยังลดความซับซ้อนด้านการบริหารจัดการ ผู้รับเหมาและพนักงานจะไม่เป็นภาระความปลอดภัยอีกต่อไป หากพวกเขาหยุดทำธุรกิจกับคุณ ภายใต้โมเดล Zero Trust ที่มีประสิทธิภาพ ระบบจะยกเลิกการเข้าถึงทรัพยากรสำคัญของพวกเขาทันที กำจัด back doors
ความเชื่อผิดที่หก: Zero Trust จำกัดเฉพาะสภาพแวดล้อม On-Prem
ธุรกิจจำนวนมายังมอง Zero Trust เป็นโมเดลที่สามารถจัดการได้เฉพาะ on-premises นี่กลายเป็นปัญหาใหญ่ เนื่องจากข้อมูลละเอียดอ่อนตอนนี้อยู่ในสภาพแวดล้อม hybrid และ cloud ด้วยการโจมตีไซเบอร์และการแฮกที่ส่งผลต่อสถาปัตยกรรม on-prem เพิ่มขึ้น ธุรกิจมากขึ้นกำลังย้ายไป cloud
ข่าวดีคือ Zero Trust กำลังเคลื่อนที่ไปพร้อมกับมัน
ด้วยการสร้างสถาปัตยกรรม Zero Trust ใน cloud บริษัทสามารถปกป้องข้อมูลละเอียดอ่อนและลดการเปิดเผยทรัพยากรที่เปราะบางในเครือข่ายของพวกเขา
เพิ่มเติม เมื่อวัฒนธรรมการทำงานจากระยะไกลเร่งรัด และอาชญากรไซเบอร์พัฒนาวิธีใหม่ในการใช้ประโยชน์จากช่องโหว่ ธุรกิจที่พึ่งพาโครงสร้างพื้นฐาน on-prem มีความเสี่ยงต่อการรบกวน
ไม่ไว้วางใจ ตรวจสอบตลอดเวลา
จากจำนวนการรั่วไหลข้อมูลที่มุ่งเป้าองค์กร มันชัดเจนว่าวิธีการดั้งเดิมต่อความปลอดภัยไม่เพียงพอ แม้หลายคนเชื่อว่า Zero Trust ราคาแพงและใช้เวลา มันเป็นยารักษาที่ยอดเยี่ยมสำหรับปัญหาความปลอดภัยในปัจจุบัน
โมเดล Zero Trust พยายามกำจัดระบบที่อิงความไว้วางใจ เพียงเพราะมันถูกใช้ประโยชน์บ่อยเกินไปในการโจมตีไซเบอร์ มันทำงานบนหลักการที่ทุกคนและทุกอย่างควรได้รับการยืนยันก่อนเข้าถึงทรัพยากรเครือข่าย นี่เป็นการ追求ที่คุ้มค่าสำหรับบริษัทที่มองหาการลดความเสี่ยงและปรับปรุงท่าทีความปลอดภัยของพวกเขา
