Zero Trust. Чуєш це словосполучення й одразу хочеться закотити очі. Маркетологи вже роздули його до розмірів чергової «срібної кулі», яку продають за шалені гроші. А насправді? Це просто здоровий глузд, який нарешті перестали ігнорувати. ІТ-простір бачив, як компанії роками будували фортеці з файрволами, VPN і «захищеним периметром», а потім один дурний співробітник з USB-флешкою або фішинговим листом валив усе за п’ять хвилин. Периметр помер. Давно. Просто не всі помітили.
Нульова довіра: сучасна концепція кібербезпеки
Суть Zero Trust проста до болю. Нікому не вірити. Ніколи. Навіть своєму CEO, навіть тому ноутбуку, який сам налаштовував три роки тому. Кожен запит, кожна сесія, кожен доступ — перевіряй наново. Ніби параноїк з діагнозом, але в кібербезпеці параноя — це професіоналізм. Класична модель «довіряй, але перевіряй» тут перетворюється на «не довіряй і перевіряй постійно». І це працює… Коли працює.
Історія пам’ятає один великий банк у Східній Європі. Вони купили купу fancy-рішень з написом Zero Trust на коробці. Витратили мільйони. А потім виявилося, що їх адміністратори як і раніше логінилися під одним спільним акаунтом «admin», пароль якого був написаний на стікері під монітором. Класичний до болю випадок. Zero Trust у них існував тільки в презентаціях для ради директорів. Реальність кусається. Втім, як завжди.
Три принципи Zero Trust
Принципи насправді три. Перевіряй явно. Давай мінімум прав. Вважай, що прорив (злам) уже стався. Звучить елементарно. Але спробуйте це впровадити в організації, де люди звикли до «ми ж свої». Культурний шок жорсткий. Співробітники починають нити, що «раніше було зручніше». А зручність і безпека — так собі сусіди. Особливо коли хтось вирішує працювати з кафе на чужому Wi-Fi і синхронізувати корпоративний диск.
Ідентичність стає новим периметром. Не IP-адреса. Не VPN-тунель. Людина. Або сервіс. Або пристрій. MFA всюди. Бажано не SMS, бо SMS — це вже майже відкритий текст. Краще апаратні ключі або нормальні authenticator-и. Але навіть MFA не рятує, якщо користувач натискає «Allow» на push-повідомлення, навіть не дивлячись. Ми таке бачили. Багато разів. Люди — найслабша ланка. І залишаться нею, поки ми не навчимося їх замінювати на щось менш імпульсивне. АІ поки що теж не панацея. Він може допомогти аналізувати поведінку, ловити аномалії, але сам стає новою атакувальною поверхнею. Модель можна отруїти. Логи можна підробити. Довіра до алгоритму — теж Zero Trust.
Мережа в цій моделі перестає бути дружньою. Мікросегментація. Кожен сегмент — окрема клітка. Навіть якщо зловмисник потрапив всередину, він не бігає по всій інфраструктурі як по торговому центру. Це боляче впроваджувати. Особливо в legacy-середовищах, де додатки написані так, ніби мережа — це одна велика щаслива сім’я. Переписувати все під Zero Trust дорого. Дуже. І ой як довго. Тому багато хто вибирає «часткове впровадження». Тобто роблять красиву обгортку навколо старого сміття. Маркетинг щасливий, а безпека — ні.
Пристрої та хмара
Пристрої. Ось де справжній цирк. BYOD, домашні ноутбуки, телефони, IoT-датчики, які хтось поставив «тимчасово» три роки тому. Кожен з них має пройти перевірку. Стан здоров’я, патчі, конфігурація. Якщо ноутбук не відповідає політиці — в бан. Без розмов. Користувачі «дуже люблять» це. Особливо ті, хто «просто хотів швидко перевірити пошту».
Хмара все ускладнює ще більше. Shared responsibility model. Юзер відповідає за своє, провайдер — за своє. Але межі розмиті. І коли щось падає, починається класичне «це не ми, це вони». Zero Trust змушує чітко визначати, хто що контролює. Identity Provider стає центром всесвіту. Conditional Access (умовний доступ). Continuous authentication (безперервна аутентифікація). Не один раз при логіні, а постійно. Поведінка змінилася? Сесію обірвали. Геолокація дивна? До побачення. Так це дратує, але працює краще, ніж старий «один раз увійшов — і гуляй».
Zero Trust: таке вже було
Zero Trust — не нова ідея. Forrester Research formalizував її років п’ятнадцять тому. До того люди вже робили подібні речі під іншими назвами. Просто тепер це модно. Вендори перефарбували свої продукти. Колишній NAC раптом став Zero Trust Network Access. Старий IAM отримав приставку Zero Trust. І всі щасливі. Гроші крутяться. Конференції повні. А реальний рівень зрілості в більшості компаній — десь між «ми про це чули» і «у нас є пілот на тридцять користувачів».
Впровадження принципу вимагає не тільки технологій. Воно вимагає зміни мислення. Від «ми захищаємо мережу» до «ми захищаємо дані й транзакції». Це складніше. Дані тепер скрізь. У SaaS, у тіньових IT, у особистих хмарах співробітників. Класифікувати їх, розмітити, контролювати доступ — робота не для слабких. І якщо ти думаєш, що AI тобі все зробить автоматично — привіт, розчарування. AI може підказати, але політики все одно пише людина. Або комітет. А комітети люблять компроміси. А компроміси в безпеці — це дірки. Отак.
Світ кібербезпеки бачив організації, які реально зробили це нормально. Не ідеально. Нормально. Вони почали з ідентичностей. Прибрали зайві права. Впровадили сильну автентифікацію. Потім сегментували критичні системи. Потім додали continuous monitoring. І не зупинилися. Бо Zero Trust — це не проект з кінцевою датою. Це стан. Постійний. Як гігієна. Ти ж не чистиш зуби раз на рік і вважаєш, що все супер.
Найбільша помилка — вважати, що купив рішення і закрив питання. Рішення — це інструмент. Без процесів, без людей, котрі розуміють, навіщо це потрібно, воно перетворюється на дорогу іграшку. Я зустрічав CISO, які з гордістю показували dashboard з зеленими галочками «Zero Trust maturity 87%». А потім з’ясовувалося, що їх основний ERP як і раніше доступний з будь-якої машини в корпоративній мережі без додаткової перевірки. Математика красива. Реальність — ні.
Zero Trust не панацея
Ще один момент. Zero Trust не захищає від усього. Він зменшує blast radius (радіус ураження). Якщо тебе вже зламали, зловмиснику складніше розгулятися. Але якщо дані вже витекли через легітимного користувача з правильними правами — ну, співчуваю. Інсайдерська загроза нікуди не поділася. Просто тепер її трохи важче реалізувати непомітно.
Прикол у тому, що багато хто впроваджує Zero Trust, щоб «відповідати вимогам». Compliance. Чекбокси. Аудитори задоволені. А справжня безпека — десь поруч, але не обов’язково всередині. Є компанії, які пройшли аудит на відмінно і через місяць отримали ransomware (програма-вимагач). Бо політика була на папері, а люди — як завжди…просто люди.
Що далі?
Zero Trust буде еволюціонувати. Більше AI для аналізу ризиків у реальному часі. Більше автоматизації. Більше уваги до supply chain. Бо треті сторони — це окремий головний біль. Можна ідеально захистити себе, а потім підрядник з доступом до твого середовища принесе неприємний сюрприз. І знову — перевіряй. Завжди.
Особисто я став досить цинічним за роки. Бачив занадто багато «трансформацій», які закінчувалися презентаціями і нічим більше. Але Zero Trust — одна з тих ідей, які мають шанс. Не тому, що вона модна, а тому, що старий підхід просто перестав працювати. Периметр розчинився. Хмара, віддалена робота, мобільні пристрої, API — усе це зробило традиційну модель смішною. Той, хто досі вірить у «внутрішню мережу як безпечну зону», живе в 2005 році.
Так, впроваджувати важко. Дорого. Боляче для користувачів. Але альтернатива гірша. Один вдалий phishing і ти вже пояснюєш регуляторам, чому у вас витекли дані півмільйона клієнтів. Zero Trust не гарантує, що цього не станеться. Він просто робить таку подію менш ймовірною і менш катастрофічною. А в нашій професії це вже майже перемога.
Тож якщо чуєте чергову презентацію про «революційний Zero Trust platform», ставте питання. Що саме вони перевіряють? Як часто? Що відбувається при аномалії? Хто пише політики? Як вимірюють успіх? Якщо відповіді розмиті — це маркетинг. Якщо конкретні — можливо, варто послухати. Але все одно перевіряйте. Zero Trust же. Навіть до самих себе.