Model dojrzałości Zero Trust i planowanie migracji

Zero Trust nie jest produktem, który można kupić — to proces ciągłego doskonalenia obejmujący wiele domen bezpieczeństwa. Bez ustrukturyzowanego modelu dojrzałości organizacjom trudno ustalać priorytety inwestycji i mierzyć postępy. CISA Zero Trust Maturity Model zapewnia wspólny język i plan działania, które pomagają zespołom zrozumieć obecny stan zabezpieczeń oraz zaplanować realistyczne, etapowe usprawnienia.

CISA Zero Trust Maturity Model definiuje pięć filarów — tożsamość, urządzenia, sieci, aplikacje i obciążenia oraz dane — oraz trzy etapy dojrzałości: tradycyjny, zaawansowany i optymalny. Na etapie tradycyjnym występują silosy, a zaufanie domyślne jest powszechne. Na etapie zaawansowanym automatyzacja i integracja ulegają poprawie. Na etapie optymalnym dynamiczne zasady, ciągłe monitorowanie i automatyzacja są w pełni wdrożone we wszystkich filarach.

W filarze tożsamości organizacje na poziomie tradycyjnym korzystają z podstawowego uwierzytelniania za pomocą nazwy użytkownika i hasła, bez MFA. Organizacje na poziomie zaawansowanym wdrażają MFA i jednokrotne logowanie w większości aplikacji. Organizacje na poziomie optymalnym stosują ciągłe uwierzytelnianie oparte na ryzyku z analizą zachowania — każde żądanie dostępu jest oceniane w czasie rzeczywistym za pomocą dynamicznych ocen ryzyka, podnoszenia uprawnień na żądanie i metod uwierzytelniania bez haseł.

W filarze urządzeń organizacje na poziomie tradycyjnym mają ograniczoną ewidencję zasobów i niewiele mechanizmów egzekwowania zasad. Organizacje na poziomie zaawansowanym wdrażają MDM i wymuszają podstawowe kontrole zgodności. Organizacje na poziomie optymalnym mają pełną ewidencję zasobów, ciągłe monitorowanie zgodności, automatyczne naprawianie stanu urządzeń niezgodnych z wymaganiami, atestację sprzętową (TPM) oraz integrację sygnałów kondycji urządzenia z każdą decyzją dotyczącą dostępu podejmowaną przez mechanizm zasad.

W filarze sieci organizacje na poziomie tradycyjnym polegają na zaporach obwodowych i płaskich sieciach wewnętrznych. Organizacje na poziomie zaawansowanym wdrażają makrosegmentację i zaczynają zastępować VPN rozwiązaniem ZTNA w wybranych zastosowaniach. Organizacje na poziomie optymalnym osiągają pełną mikrosegmentację wszystkich obciążeń, szyfrowanie ruchu wschód-zachód, perymetry definiowane programowo oraz analizę ruchu sieciowego, która w czasie rzeczywistym zasila mechanizm zasad Zero Trust.

W przypadku aplikacji i obciążeń organizacje na poziomie tradycyjnym przyznają szeroki dostęp do poszczególnych aplikacji. Organizacje na poziomie optymalnym stosują dostęp z minimalnymi uprawnieniami dla każdej sesji, wbudowane zapobieganie utracie danych oraz inspekcję na poziomie aplikacji. W filarze danych organizacje na poziomie tradycyjnym stosują minimalną klasyfikację. Organizacje na poziomie optymalnym zapewniają automatyczne wykrywanie danych, klasyfikację danych w spoczynku i podczas przesyłania, szyfrowanie wszędzie oraz skoncentrowane na danych mechanizmy kontroli dostępu, które podążają za danymi niezależnie od miejsca, do którego się przemieszczają.

Przed zaplanowaniem migracji przeprowadź analizę luk we wszystkich pięciu filarach. Dla każdego filaru udokumentuj stan bieżący (tradycyjny/zaawansowany/optymalny), stan docelowy oraz luki, które należy zamknąć. Zbierz dane z dzienników dostawcy tożsamości, konsol MDM, diagramów sieci, ewidencji aplikacji i raportów klasyfikacji danych. Wynikiem jest ustalona według priorytetów lista projektów przypisanych do poszczególnych filarów.

Udane migracje do modelu Zero Trust rozpoczynają się od szybkich zwycięstw, które zwiększają bezpieczeństwo bez zakłócania działalności. Typowe rezultaty pierwszego etapu to: wdrożenie MFA dla wszystkich użytkowników, rejestracja urządzeń w MDM, wdrożenie SSO w celu ograniczenia liczby haseł oraz włączenie podstawowego Conditional Access. Kroki te zmniejszają najpoważniejsze zagrożenia (przejęcie poświadczeń i urządzenia niezarządzane), jednocześnie budując zaufanie interesariuszy potrzebne do realizacji większych inwestycji.

Etap 2 integruje filary i wprowadza automatyzację. Oceny ryzyka tożsamości zasilają zasady Conditional Access. Zgodność urządzenia jest egzekwowana jako warunek dostępu do aplikacji. ZTNA zastępuje VPN w przypadku dostępu zdalnego. Privileged Access Management (PAM) przechowuje w sejfach i rotuje uprzywilejowane poświadczenia. Automatyzacja ogranicza konieczność ręcznej ingerencji i zapewnia spójne stosowanie zasad, eliminując błędy ludzkie w decyzjach dotyczących kontroli dostępu.

Typowe wyzwania migracji do modelu Zero Trust obejmują starsze aplikacje, które nie obsługują nowoczesnych protokołów uwierzytelniania (SAML, OIDC), opór interesariuszy ze strony zespołów, których procesy pracy zostają zakłócone, oraz rozrost liczby narzędzi wynikający z integracji produktów do zarządzania tożsamością, MDM, SIEM i ZTNA. Ich rozwiązanie wymaga planów modernizacji aplikacji, wsparcia kadry kierowniczej, programów zarządzania zmianą oraz konsolidacji platform w celu ograniczenia złożoności integracji.

Dojrzałość modelu Zero Trust należy mierzyć za pomocą mierzalnych wskaźników, a nie subiektywnych ocen. Kluczowe wskaźniki obejmują: odsetek użytkowników objętych MFA, odsetek urządzeń zarejestrowanych w MDM i zgodnych z wymaganiami, odsetek aplikacji dostępnych wyłącznie za pośrednictwem ZTNA, średni czas wykrycia (MTTD) prób ruchu bocznego oraz liczbę wyłączonych starszych protokołów. Regularne pomiary względem punktów kontrolnych modelu dojrzałości CISA pomagają utrzymać program na właściwym kursie i uzasadniają dalsze inwestycje.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo: model dojrzałości Zero Trust firmy CISA definiuje pięć filarów w ramach trzech etapów dojrzałości, oceny luk pozwalają określić bieżący stan zabezpieczeń i ustalić priorytety projektów usprawniających, a migracja etapowa rozpoczynająca się od szybkich korzyści (MFA, MDM, SSO) zapewnia wczesne korzyści w zakresie bezpieczeństwa, jednocześnie przybliżając organizację do pełnego modelu Zero Trust. W następnej części omówimy metodykę threat huntingu oraz sposób tworzenia ustrukturyzowanych hipotez na potrzeby proaktywnego badania.