Definitionen av modern Zero Trust

0
256

Forrester ResearchSkriven av Forrester Research, bidragsgivare Forrester Research Forrester Research Contributor

Forrester (Nasdaq: FORR) är ett av de mest inflytelserika forsknings- och rådgivningsföretagen i världen. Vi hjälper ledare inom teknik, marknadsföring, kundupplevelse, produkt- och försäljningsfunktioner att använda kundbesatthet för att påskynda tillväxten.

Fullständig beskrivning publicerad i Forrester den 2 februari 2022 | Ämne: Säkerhet

I början av 2022 står Zero Trust inför en bisarr dikotomi: det är på gränsen till att bli den de facto cybersäkerhetsstrategin samtidigt som många säkerhetsutövare fördömer det som “bara ett marknadsföringsknep.” Hur kom vi, som säkerhetssamfundet, fram till en så osäkra abborre?

En del av problemet, enligt John Kindervag, tidigare Forrester-analytiker och författare till den ursprungliga Zero Trust-forskningen, var att trilogin med Zero Trust-papper till stor del låg bakom Forresters betalvägg. I över ett decennium hade bara Forrester-klienter och alla säkerhetsleverantörer i världen tillgång. Hypetåget lämnade stationen, med dessa försäljare som formade Zero Trust-berättelsen ur deras mycket subjektiva perspektiv. Icke-klienter och den större cybersäkerhetsgemenskapen såg bara Zero Trust genom leverantörsmarknadsföringens målade glasfönster.

Forresters forskning avancerade Zero Trust-konceptet från nätverksfokuserat till ett integrerat, dynamiskt ekosystem av säkerhetsfunktioner och teknologier med introduktionen av Zero Trust Extended (ZTX). Men analytiker är inte nödvändigtvis marknadsförare, och forskningen saknade en tydlig, koncis, delbar definition som våra kunder och det större samhället skulle kunna använda som en del i marken.

I dag korrigerar vi båda dessa problem genom att släppa en rapport med titeln “The Definition Of Modern Zero Trust.” Tja, ja, den rapporten ligger bakom betalväggen, men vi inkluderar dess definition här, på utsidan, för alla.

Noll förtroende definierad 

Zero Trust är en informationssäkerhetsmodell som nekar åtkomst till applikationer och data som standard. Hotförebyggande uppnås genom att endast bevilja åtkomst till nätverk och arbetsbelastningar med hjälp av policy som är informerad av kontinuerlig, kontextuell, riskbaserad verifiering mellan användare och deras associerade enheter. Zero Trust förespråkar dessa tre kärnprinciper: Alla enheter är otillförlitliga som standard, minsta privilegierade åtkomst upprätthålls och omfattande säkerhetsövervakning implementeras.

Lägg märke till att den sista meningen är de tre ursprungliga Zero Trust-principerna som anges tillsammans. Här är de viktigaste punkterna i punktform: 

Standard neka 

Endast åtkomst enligt policy 

För data, arbetsbelastningar, användare, enheter 

Lägsta behörighetsåtkomst 

Säkerhetsövervakning 

Riskbaserad verifiering 

De goda nyheterna för alla är att denna definition inte avviker från NISTs definition i SP 800- 207. De två definitionerna förklarar samma koncept, med samma principer och ofta samma ord.

Vad sägs om Zero Trust Architecture eller Zero Trust Strategy?

Det breda temat för Zero Trust är minskningen av implicit tillit. Som en modell för informationssäkerhet översätter Zero Trust till nätverks- och säkerhetsarkitektur. Se NIST SP 800-207, Zero Trust Architectures, som det mest relevanta exemplet.

Vissa förespråkare för Zero Trust säger att det också borde vara en strategi som fungerar lika bra; överväg att ersätta frasen “Zero Trust-strategi” med “en strategi för att minska implicit förtroende i hela vårt företag” i ditt sinne.

Så, vad är inte Zero Trust?

För att bättre hjälpa säkerhetsledare och proffs att kommunicera fördelarna med Zero Trust-antagande ger vår rapport mer klarhet i vad det inte är. En viktig punkt är att det inte är en strategi för säkerhetsmedvetenhet och utbildning. Faktum är att det inte finns något behov av att de allra flesta slutanvändare i en organisation har någon som helst bekantskap med detta koncept. Att pusha Noll Trust-koncept till slutanvändare kommer sannolikt att slå tillbaka ur ett medvetande- och utbildningsperspektiv, eftersom uppfattningen om att ha “noll förtroende” antyder brist på förtroende för anställda. Organisationer som har anammat Zero Trust-modellen ser förtroende som grundläggande för att skapa en positiv arbetskultur med låg friktion för anställda och investerar i initiativ för att ge företaget på alla nivåer möjlighet att differentiera med förtroende.

Gå vidare och konvertera förnekarna 

En gång till för dem som står bakom: Zero Trust är en informationssäkerhetsmodell som kan arbetas mot men utan ett slutgiltigt sluttillstånd.

Det här inlägget skrevs av senior forskningsanalytiker David Holmes och det visades ursprungligen här.

ZDNet rekommenderar

Få upp till 6 månader gratis med Apple Music eller Amazon Music Unlimited idag Bästa erbjudanden för streamingenhet för Super Bowl LVI: Roku, Fire Stick, Apple TV Bästa TV erbjudanden för Super Bowl LVI: Sony, LG, TCL, mer Bästa hemgeneratorerbjudanden tillgängliga: Champion, Westinghouse och mer De bästa bärbara kraftverken 2022 Säkerhets-TV | Datahantering | CXO | Datacenter