Σχεδόν εννέα στους δέκα ηγέτες ασφάλειας έχουν αντιμετωπίσει σημαντικές προκλήσεις στις προσπάθειές τους να εφαρμόσουν το zero trust, σύμφωνα με πρόσφατη έκθεση της Accenture. Η περιεκτική φύση των zerο trust deployments, η αντίδραση από τους επικεφαλής τμημάτων και ο εξαιρετικά μακρύς χρόνος που απαιτείται για ουσιαστική απόδοση επένδυσης (ROI) είναι βασικοί παράγοντες που προκαλούν απογοήτευση στους CISOs.
“Ακόμη και η εφαρμογή του zero trust, ενός θεμελιώδους security framework, αποτελεί σημαντική πρόκληση για το 88% των οργανισμών”, αναφέρει η έκθεση της Accenture. “Αυτή η ευπάθεια εκτείνεται στον φυσικό κόσμο, με το 80% να μην μπορεί να προστατεύσει αποτελεσματικά τα κυβερνο-φυσικά συστήματά τους“.
Ένα μεγάλο μέρος της δυσκολίας είναι ότι πολλές εταιρείες ορίζουν το zerο trust πολύ διαφορετικά. Δεν ήταν ποτέ μια προδιαγραφή όσο μια προσέγγιση ασφαλείας, αν και αυτό δεν σημαίνει ότι πολλοί CISOs δεν έχουν σημειώσει σημαντική επιτυχία στην προώθηση του zerο trust στους οργανισμούς τους.
Δείτε επίσης: Ασφάλεια σε Δίκτυα Υπολογιστών: VPNs, Firewalls, IDS/IPS και Zero Trust
Επιπλέον, το γεγονός ότι κάθε επιχειρησιακό περιβάλλον είναι μοναδικό απαιτεί έλλειψη συγκεκριμένων λεπτομερειών εφαρμογής για το zero trust: η συμμόρφωση, η γεωγραφική θέση, τα verticals και η φύση των συνεργατών και άλλων που χρειάζονται πρόσβαση στα συστήματα ενός οργανισμού μπορεί να ποικίλλουν σημαντικά. Ταυτόχρονα, υπάρχουν ιδιαιτερότητες σε σχέση με on-prem, cloud, απομακρυσμένες τοποθεσίες, IoT και άλλα συστήματα.
“Είναι μια στρατηγική μεταμόρφωση, όχι μια τακτική ανάπτυξη, και γι’ αυτό βλέπουμε τόσο ευρεία δυσκολία σε όλη τη βιομηχανία“, λέει ο Prashant Deo, επικεφαλής της παγκόσμιας πρακτικής κυβερνοασφάλειας στην Tata Consultancy Services.
Ο Deo υποστηρίζει ότι η νοοτροπία του zero trust είναι θεμελιωδώς αντίθετη με τον τρόπο που οι επιχειρήσεις προσέγγιζαν πάντα την ασφάλεια.
“Για δεκαετίες, η ασφάλεια βασιζόταν στην υπόθεση της έμμεσης εμπιστοσύνης εντός της περιμέτρου του δικτύου. Το μοντέλο zerο trust απαιτεί μια πλήρη ανατροπή αυτής της σκέψης“, σημειώνει ο Deo. “Η μετατόπιση ενός ολόκληρου οργανισμού σε μια κουλτούρα ‘ποτέ μην εμπιστεύεσαι, πάντα να επαληθεύεις’ είναι μια σημαντική και δύσκολη αλλαγή“.
Ο Rex Booth, CISO στη Sailpoint, λέει ότι η σύγχυση στον ορισμό παίζει μεγάλο ρόλο στη δυσκολία εφαρμογής της προσέγγισης: “Το zero trust σημαίνει διάφορα πράγματα για διάφορους ανθρώπους. Δεν θέλουμε να περιορίσουμε το τι σημαίνει το zerο trust και να προσφέρουμε αυτό το ιδεατό μοντέλο ως ‘Αυτός είναι ο μόνος τρόπος να κάνεις zerο trust‘”.
Δείτε επίσης: Ευπάθεια στο Azure Active Directory Αποκαλύπτει Διαπιστευτήρια
Η Karen Andersen, identity architect στην World Wide Technology, συμφωνεί με τον Booth για την ασαφή φύση του όρου: “Συχνά νομίζω ότι οι άνθρωποι δεν ξέρουν τι να κάνουν με τον όρο. Κάποιοι λένε ότι είναι προϊόν, αλλά σημαίνει διαφορετικά πράγματα για διαφορετικούς ανθρώπους. Συχνά νομίζω ότι μπορεί να θεωρηθεί ως λέξη-κλειδί μάρκετινγκ, αλλά πιστεύω στη στρατηγική πίσω από αυτό“.
Στην πραγματικότητα, η Andersen εκπλήσσεται που μόνο το 88% των στελεχών ασφαλείας ανέφεραν ότι βρήκαν δύσκολη την εφαρμογή του zero trust. “Θέλω να γνωρίσω το 12% που δεν το βρήκε δύσκολο“, αστειεύεται.
Zero trust: Ένα ατελείωτο ταξίδι
Μια πραγματικά ολοκληρωμένη ανάπτυξη zerο trust μπορεί να χρειαστεί πάνω από μια δεκαετία για να εκτελεστεί, λέει η Andersen — υποθέτοντας ότι δεν ολοκληρώνεται ποτέ.
“Όταν εξηγώ το zerο trust [στην ανώτατη διοίκηση], τους λέω ότι είναι μια στρατηγική ενός οδικού χάρτη 10 έως 12 ετών, για να χτίσουμε πραγματικά αυτή τη βάση“, λέει. “Δεν νομίζω ότι φτάνεις ποτέ στο τέλος του zero trust“.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Ο Saleh Hamdan Al-Bualy, που πέρασε χρόνια ως διευθυντής ασφάλειας πληροφοριών για την αλυσίδα ξενοδοχείων The Four Seasons, ανησυχεί επίσης για την πολυπλοκότητα του zero trust και την έλλειψη συγκεκριμένων κινήτρων για την εφαρμογή του.
Δείτε επίσης: Κρίσιμες ευπάθειες Qualcomm επιτρέπουν RCE επιθέσεις
“Δεν υπάρχει απολύτως κανένα κίνητρο για να το κάνεις“, λέει ο Al-Bualy, ο οποίος σήμερα υπηρετεί ως ηγέτης ασφάλειας μιας μυστικής startup AI και ορίζει το zero trust ως το αντίθετο του Unix’s trusted host. “Έχει μια επιβραδυντική επίδραση στην επιχείρηση. Δεν μπορείς να κάνεις zero trust εκτός αν το εφαρμόσεις πλήρως. Μέχρι τότε, δεν θα λάβεις κανένα από τα οφέλη“.
Ο Al-Bualy τονίζει ότι ο μόνος τρόπος να είναι επιτυχές το zero trust είναι αν προωθηθεί από πάνω προς τα κάτω, από το διοικητικό συμβούλιο ή τον CEO μέχρι το γραφείο του CISO, παρόμοια με το πώς έχει προωθηθεί το Generative AI.
“Πρέπει να πείσεις το διοικητικό συμβούλιο και την εκτελεστική ομάδα ότι πρέπει να το κάνουμε για τους λόγους XYZ“, λέει.
