Zero Trust -kypsyysmalli ja siirtymisen suunnittelu

Zero Trust ei ole ostettava tuote, vaan jatkuvan kehittämisen matka useilla tietoturvan osa-alueilla. Ilman jäsenneltyä kypsyysmallia organisaatioiden on vaikea priorisoida investointeja ja mitata edistymistä. CISA Zero Trust Maturity Model tarjoaa yhteisen kielen ja etenemissuunnitelman, jonka avulla tiimit voivat ymmärtää nykyisen tietoturvatilansa ja suunnitella realistisia, vaiheittaisia parannuksia.

CISA Zero Trust Maturity Model määrittelee viisi pilaria – identiteetti, laitteet, verkot, sovellukset ja työkuormat sekä tiedot – sekä kolme kypsyysvaihetta: perinteinen, edistynyt ja optimaalinen. Perinteisessä vaiheessa siilot ovat yleisiä ja implisiittinen luottamus tavallista. Edistyneessä vaiheessa automaatio ja integraatio kehittyvät. Optimaalisessa vaiheessa dynaamiset käytännöt, jatkuva valvonta ja automaatio on otettu täysimääräisesti käyttöön kaikissa pilareissa.

Identiteettipilarin perinteisessä vaiheessa organisaatiot käyttävät perustason käyttäjänimi- ja salasanatodennusta ilman MFA:ta. Edistyneessä vaiheessa organisaatiot ottavat käyttöön MFA:n ja kertakirjautumisen useimmissa sovelluksissa. Optimaalisessa vaiheessa organisaatiot käyttävät riskiin perustuvaa jatkuvaa todennusta käyttäytymisanalytiikan avulla: jokainen käyttöoikeuspyyntö arvioidaan reaaliajassa dynaamisten riskipisteiden, oikeuksien juuri oikeaan aikaan tapahtuvan korottamisen ja salasanattomien todennusmenetelmien avulla.

Laitteiden pilarin perinteisessä vaiheessa omaisuusluettelo on suppea ja valvonta vähäistä. Edistyneessä vaiheessa organisaatiot ottavat käyttöön MDM:n ja valvovat perustason vaatimustenmukaisuutta. Optimaalisessa vaiheessa käytössä on kattava omaisuusluettelo, jatkuva vaatimustenmukaisuuden valvonta, vaatimustenvastaisten laitteiden automaattinen korjaus, laitteiston varmennus (TPM) sekä laitteen terveystietojen integrointi jokaiseen käyttöoikeuspäätökseen käytäntömoottorin kautta.

Verkkopilarin perinteisessä vaiheessa organisaatiot luottavat reunapalomuureihin ja litteisiin sisäverkkoihin. Edistyneessä vaiheessa organisaatiot ottavat käyttöön makrosegmentoinnin ja alkavat korvata VPN:n ZTNA:lla joissakin käyttötapauksissa. Optimaalisessa vaiheessa kaikki työkuormat on mikrosegmentoitu kattavasti, itä–länsi-suuntainen liikenne on salattu, käytössä ovat ohjelmistomääritetyt reunat ja verkkoliikenteen analytiikka syöttää tietoja Zero Trust -käytäntömoottorille reaaliajassa.

Sovellusten ja työkuormien osalta perinteiset organisaatiot myöntävät sovelluskohtaisesti laajat käyttöoikeudet. Optimaaliset organisaatiot soveltavat istuntokohtaista vähimpien oikeuksien mukaista käyttöä sekä suoraan liikenteeseen kohdistuvaa tietojen menetyksen estoa ja sovelluskerroksen tarkastusta. Tietojen pilarissa perinteiset organisaatiot toteuttavat vain vähäistä luokittelua. Optimaaliset organisaatiot löytävät ja luokittelevat tiedot automaattisesti niiden ollessa tallennettuina ja siirrettävinä, salaavat kaiken ja käyttävät tietokeskeisiä käyttöoikeusvalvontoja, jotka seuraavat tietoja niiden sijainnista riippumatta.

Ennen siirtymän suunnittelua tehkää aukkoarvio kaikissa viidessä pilarissa. Dokumentoikaa kunkin pilarin nykytila (perinteinen/edistynyt/optimaalinen), tavoitetila ja suljettavat aukot. Kerätkää tietoja identiteetintarjoajan lokeista, MDM-konsolista, verkkokaavioista, sovellusluetteloista ja tietojen luokitteluraporteista. Tuloksena on priorisoitu projektien luettelo, joka on yhdistetty kuhunkin pilariin.

Onnistuneet Zero Trust -siirtymät alkavat nopeista hyödyistä, jotka parantavat tietoturvaa häiritsemättä liiketoimintaa. Tyypillisiä ensimmäisen vaiheen hyötyjä ovat MFA:n käyttöönotto kaikille käyttäjille, laitteiden rekisteröinti MDM-järjestelmään, SSO:n käyttöönotto salasanojen liiallisen määrän vähentämiseksi ja perustason Conditional Accessin käyttöönotto. Näillä toimilla torjutaan kriittisimpiä riskejä (tunnistetietojen vaarantuminen ja hallitsemattomat laitteet) sekä rakennetaan sidosryhmien luottamusta suurempia investointeja varten.

Toisessa vaiheessa pilarit integroidaan ja automaatio otetaan käyttöön. Identiteetin riskipisteet syötetään Conditional Access -käytäntöihin. Laitteen vaatimustenmukaisuutta valvotaan sovellusten käytön ehtona. ZTNA korvaa VPN:n etäkäytössä. Privileged Access Management (PAM) -ratkaisut säilövät ja vaihtavat säännöllisesti etuoikeutettuja tunnistetietoja. Automaatio vähentää manuaalista työtä ja varmistaa käytäntöjen johdonmukaisen soveltamisen, mikä poistaa inhimilliset virheet käyttöoikeuksien valvontapäätöksistä.

Yleisiä Zero Trust -siirtymän haasteita ovat vanhat sovellukset, jotka eivät tue moderneja todennusprotokollia (SAML, OIDC), työskentelytapojen häiriintymisestä johtuva sidosryhmien vastustus sekä identiteetti-, MDM-, SIEM- ja ZTNA-tuotteiden integroinnista aiheutuva työkalujen hajanaisuus. Näihin haasteisiin vastaaminen edellyttää sovellusten modernisoinnin etenemissuunnitelmia, johdon tukea, muutoksenhallintaohjelmia ja alustojen yhdistämistä integraation monimutkaisuuden vähentämiseksi.

Zero Trust -mallin kypsyyttä tulisi mitata kvantifioitavilla mittareilla, ei subjektiivisilla arvioilla. Keskeisiä mittareita ovat muun muassa MFA:han rekisteröityneiden käyttäjien prosenttiosuus, MDM:ään rekisteröityjen ja vaatimusten mukaisten laitteiden prosenttiosuus, vain ZTNA:n kautta käytettävissä olevien sovellusten prosenttiosuus, sivuttaisliikkumisyritysten havaitsemiseen kuluva keskimääräinen aika (MTTD) sekä käytöstä poistettujen vanhojen protokollien määrä. Säännöllinen mittaaminen CISA:n kypsyysmallin tarkistuspisteitä vasten pitää ohjelman oikealla uralla ja perustelee investointien jatkamisen.

Tässä oppitunnissa opitte, että CISA:n Zero Trust Maturity Model määrittelee viisi pilaria kolmella kypsyystasolla, puuteanalyysit tunnistavat nykytilan ja auttavat priorisoimaan kehitysprojekteja sekä että vaiheittainen siirtyminen, joka aloitetaan nopeasti toteutettavista parannuksista (MFA, MDM, SSO), tuottaa nopeasti tietoturvahyötyjä ja vie samalla kohti täyttä Zero Trust -mallia. Seuraavaksi tutustumme uhkien metsästyksen menetelmiin ja jäsenneltyjen hypoteesien muodostamiseen ennakoivaa tutkintaa varten.