Zero Trust: ürün değil, bir sıra

Zero Trust nedir, ne değildir

Eski model basitti: ağın içi güvenilirdi, dışı değil. Arada bir güvenlik duvarı vardı ve oradan geçen her şeye ulaşırdı. Herkes ofisteyken ve bütün sistemler aynı sunucu odasındayken bu işliyordu.

İkisi de artık doğru değil. İnsanlar her yerde, sistemler üç sağlayıcıda ve güvenlik duvarı, işin artık içinde yaşamadığı bir ağın çevresinde duruyor. Zero Trust bu kaymanın yanıtıdır ve tek bir kuraldan oluşur: hiçbir bağlantıya nereden geldiğine bakarak güvenme. Her istek, kimin yaptığına, hangi cihazdan geldiğine ve o anda tutarlı olup olmadığına göre değerlendirilir.

Ne değildir: bir ürün. Güvenliği satın alamadığınız gibi Zero Trust’ı da satın alamazsınız. Her üreticinin bir kutusu var — biri kimlikte, biri ağda, üçüncüsü çalışma alanında — ve her kutu bir kısmı kapsar. Birini alıp bittiğini sanan, bir katmanı çözmüş, üçünü çözmemiştir.

Ve ya hep ya hiç değildir. Girdiğimiz kuruluşların çoğunda, adını böyle koymadan, iki üç parça zaten yerindedir. Soru başlayıp başlamayacağınız değil, hangi katmandan başlayacağınızdır.

Her zaman kimlikle başlayın

Başlanacak tek bir yer varsa burasıdır ve bunun birbirinden bağımsız iki nedeni var.

Birincisi, işin ters gittiği katman burasıdır. Gördüğümüz olaylarda giriş neredeyse hiçbir zaman güvenlik duvarındaki teknik bir açık değildir. Bir hesaptır: başka yerde sızmış bir parola, inandırıcı bir oturum açma sayfasına tıklayan bir çalışan, 2019’dan kalma ve kimsenin temizlemediği bir yönetici hesabı.

İkincisi, en ucuz katman burasıdır. İkinci faktörü açmak yatırım değil, kararlılık ister. Koşullu erişimi kurmak — kimin neyi, hangi cihazdan ve hangi durumda yapabileceği — genellikle zaten elinizdeki lisansın içindedir.

Somut olarak yerinde olması gerekenler:

• Her şeyde ikinci faktör ve önce yönetici hesaplarında. Bir saldırgan için zahmete değen onlardır; muhasebedeki o tek meslektaşın hesabı değil.
• Koşullu erişim. Yönetilen bir cihazdan yapılan oturum açma, kimsenizin olmadığı bir ülkedeki tanınmayan bir dizüstünden yapılandan daha fazlasına izin vermelidir.
• Süreç olarak işten ayrılma. Yaşamaya devam eden bir hesap açık bir kapıdır ve o kapıya dışarıdan ulaşılır. Bu teknik değil, insan kaynaklarıyla yapılan bir anlaşmadır.
• Süresi dolan yönetici hakları. Kişi bir şeyi yönetirken yöneticidir; üç yıl önce bir kez gerekti diye kalıcı olarak değil.

Bu katmanı nasıl kurduğumuz siber güvenlik altında duruyor.

Sonra cihaz, ancak ondan sonra ağ

İkinci katman cihazdır. Hakkında hiçbir şey bilmediğiniz bir cihazdan gelen geçerli bir oturum açma yine de risktir, çünkü kimlik bilgileri o cihazdan çalınmış olabilir. Burada istediğiniz şey söylemesi kolay, sürdürmesi zordur: işe yalnızca tanıdığınız ve güncel olan cihazlar ulaşır.

Bu, uygulamayla çarpışır ve bu da işin parçasıdır. Her zaman yarın bakması gereken bir dış taraf ve özel telefonu olan bir yönetici vardır. Buna yanıt kuralı yumuşatmak değil, ikinci bir yol kurmaktır: daha az hak, yerelde dosya yok, yalnızca tarayıcı.

Üçüncü katman ağdır ve bilerek en sona bırakılır. Bölümleme — bulaşmış bir cihazın her şeye ulaşamaması için ağı bölmek — değerlidir ve aynı zamanda en çok iş isteyendir. Üretim ya da tıbbi cihaz bulunan kuruluşlarda öne alınır, çünkü o ağda güncelleyemediğiniz ve bu yüzden ayırmanız gereken şeyler asılıdır. Bir ofis kuruluşunda aynı çaba kimlik katmanına harcandığında daha çok getirir.

Kimlik, cihaz, ağ sırası bir yasa değildir. Çoğu ortamda harcanan euro başına en çok riski kaldıran şey budur ve sizinki gerekçe veriyorsa bundan saparız. Ama o zaman nedenini de söyleriz.

VPN’e ne olur

Bu, her görüşmede gelen sorudur; işte dürüst yanıt.

Bir VPN, Zero Trust ilkesine uymaz, çünkü tam da artık istemediğiniz şeyi yapar: birini içeri alır ve içerisi güvenilirdir. VPN’den geçen kişi ağın üzerindedir ve orada duran her şeye ulaşır.

Yine de hemen kaldırmayı nadiren öneririz ve bu gevşeklik değildir. Neredeyse her ortamda VPN’e asılı, başka türlü erişilemeyen bir şey vardır: eski bir uygulama, bir makine, o şekilde bağlanmış bir tedarikçi. Bunları kaldırmak başlı başına bir projedir ve o proje bitene kadar VPN ihtiyacınız olan bir şeyi yapar.

Hemen yapabileceğiniz şey onu küçültmektir. Kimler girer, hangi ikinci faktörle ve nereye çıkar — bütün ağa değil, gerçekten gerekli olan birkaç sisteme. Bu bir öğleden sonralık iştir ve hiçbir şeyi bozmadan riskin büyük kısmını kaldırır.

Sürtünme olarak neye mal olur

Tutarlar bu sitede yok. Buraya ait olan öteki bedeldir, çünkü nadiren adı konur ve uygulamaların karaya oturmasının nedeni odur.

Zero Trust, insanların daha sık onaylaması, güncel olmayan bir cihazın çalışmayı bırakması ve eskiden her şeye ulaşan birinin artık ulaşamaması demektir. Bu direnç doğurur ve o direnç haklıdır: kısa vadede iş daha hantal olur.

Buna karşı yardımcı olan şey, standardın gerektirdiğini anlatmak değildir. Yardımcı olan, kuralı normal çalışan insanlara dokunmayacak biçimde ayarlamaktır. Her oturum açmada değil haftada bir soran bir ikinci faktör, yönetilen bir cihazda fazladan hiçbir şey istemeyen bir koşullu erişim — yerinde kalan bir önlemle üç hafta sonra yönetim takıldığı için kapatılan bir önlem arasındaki fark budur.

Ve bir istisna listesine hazır olun. Her zaman vardır ve sessizce var olmak yerine bir gerekçe ve bir tarihle yazılmayı hak eder.