Zero Trust за NIST SP 800-207: як впровадити, не зламавши бізнес

"Довіряй, але перевіряй" - це застаріла стратегія. Сьогодні правило одне: ніколи не довіряй, завжди перевіряй.

Zero Trust - це не продукт і не технологія. Це архітектурна філософія кібербезпеки, заснована на одному принципі: жодна система, жоден користувач і жоден пристрій не заслуговують на довіру за замовчуванням, навіть якщо вони вже всередині корпоративної мережі.

У 2020 році NIST (Національний інститут стандартів і технологій США) опублікував SP 800-207 - перший офіційний стандартZero Trust Architecture. Саме на нього орієнтуються банки, оператори критичної інфраструктури та держсектор по всьому світу включно з Україною.

7 принципів Zero Trust за NIST SP 800-207

1.    Усі джерела даних і сервіси є ресурсами включаючи особисті пристрої, якщо вони мають доступ до корпоративних систем.

2.    Вся комунікація захищена незалежно від розташування мережі - немає «безпечної» внутрішньої мережі.

3.    Доступ до окремих ресурсів надається окремо - не до всієї мережі одразу.

4.    Доступ визначається динамічною політикою: враховуються ідентичність, пристрій, геолокація, час.

5.    Стан безпеки всіх пристроїв постійно моніториться та оцінюється.

6.    Автентифікація та авторизація є суворими і динамічними перевіряються перед кожним запитом.

7.    Збирається максимальна кількість даних для виявлення аномалій і покращення стану безпеки.

Identity-based security як ядро Zero Trust

Традиційна безпека будується навколо периметру: є «зовні» (небезпечно) і «всередині» (безпечно). Zero Trust руйнує цю логіку, адже 80% зломів починаються з середини: через скомпрометований акаунт, підрядника або заражений ноутбук.

У Zero Trust центром стає ідентичність(identity): хто ти, з якого пристрою, звідки, навіщо і чи маєш ти право саме зараз. Identity-based security означає: IAM (управління доступом), MFA(багатофакторна автентифікація) і PAM (управління привілейованим доступом)стають критичною інфраструктурою.

Microsegmentation: розділяй і захищай

Microsegmentation - це поділ мережі на малі ізольовані сегменти, де кожен ресурс «бачить» лише тих, кому це дозволено. Навіть якщо зловмисник проникне в один сегмент, він не зможе переміститися далі.

Аналогія: не один великий замок із єдиними воротами, а місто з окремими кімнатами, де в кожну - свій ключ.

ZTNA замість VPN: чому це важливо

VPN дає доступ до всієї мережі після одноразової автентифікації. ZTNA (Zero Trust Network Access) дає доступ лише до конкретного додатку або ресурсу і лише після перевірки контексту кожного запиту.

•       VPN: один пароль → доступ до 1000 ресурсів.

•       ZTNA: постійна перевірка → доступ лише до потрібного ресурсу в потрібний момент.

Поетапне впровадження Zero Trust: практичний план

Фаза 1 (місяці 1–3): Інвентаризація і видимість

Що маємо? Картування всіх активів, ідентичностей, потоків даних. Без розуміння того, що є — неможливо захищати.

Фаза 2 (місяці 4–6): Identity & AccessManagement

Впровадження MFA для всіх користувачів, PAMдля адміністраторів, SSO (Single Sign-On) для контрольованого входу.

Фаза 3 (місяці 7–12): Microsegmentation

Поділ мережі на сегменти, впровадження ZTNAдля зовнішнього доступу замість VPN.

Фаза 4 (місяці 13–18): Автоматизація і моніторинг

Continuous monitoring, поведінкова аналітика (UEBA), автоматичне реагування на аномалії.

Кейс: Zero Trust для українського банку

Середній регіональний банк (600співробітників, 12 відділень) впровадив ZTA протягом 14 місяців. Результати: кількість інцидентів, пов'язаних із компрометацією облікових записів, знизилася на 78%. Час виявлення аномалій - з тижнів до годин. Відповідність вимогам НБУ Постанови №143 досягнута без додаткових інвестицій у нове обладнання.

Розробити ZTA-стратегію для вашого бізнесу Зможуть фахівці SHERIFF CYBER