Как внедрить Zero Trust: первые шаги и факторы успеха

[KL FC Bot]

В этом году исполняется 15 лет первому руководству по внедрению Zero Trust в организациях, и почти две трети крупных компаний в той или иной мере внедрили эту концепцию безопасности. Правда, в 58% случаев этот переход далек от завершения и Zero Trust покрывает менее половины инфраструктуры. В большинстве организаций пока пилотируют технологические решения и строят элементы необходимой инфраструктуры. Чтобы оказаться в «продвинутом меньшинстве», нужно планировать переход к Zero Trust, понимая, каких преград и трудностей стоит ожидать, а главное, как их преодолеть.

Руководства по Zero Trust

Zero Trust — это архитектура безопасности, в которой все соединения, устройства и приложения считаются недоверенными и потенциально скомпрометированными, даже если они принадлежат к внутренней инфраструктуре организации. Решения Zero Trust воплощают непрерывную адаптивную защиту и проверяют каждое соединение или транзакцию заново с учетом возможно изменившегося контекста безопасности. Это позволяет компаниям развивать ИБ в реалиях гибридных облачных инфраструктур и удаленной работы.

Кроме самых старых и известных руководств, таких как первый обзор Forrester и BeyondCorp от Google, компоненты Zero Trust детально описаны в NIST SP 800-207, Zero Trust Architecture, а в отдельном руководстве NIST SP 1800-35B даны рекомендации по внедрению. Есть руководства, проецирующие конкретные меры и инструменты ИБ на методологию Zero Trust, например CIS Controls v8. У CISA есть удобная модель зрелости, правда, оптимизированная для государственных учреждений.

На практике внедрение Zero Trust редко идет «по учебнику» и многие CISO вынуждены объединять рекомендации из этих методических документов с руководствами своих ключевых ИТ-поставщиков (например, Microsoft), расставляя приоритеты и выбирая необходимые меры по ситуации.

Также все руководства лаконичны и дипломатичны в описании сложностей, которые приходится преодолевать при внедрении.

 

View the full article