Ano ang modelo ng seguridad ng Zero Trust?

Ang modelo ng seguridad ng Zero trust ay nakaugat sa isang simpleng prinsipyo: huwag magtiwala sa sinuman, sa loob man o labas ng corporate network. Dapat patunayan ng bawat user, device, at application ang pagkakakilanlan nito bago magkaroon ng access sa mga mapagkukunan. Ang mga organisasyong gumagamit ng mga diskarte sa zero trust ay kadalasang nakakakita ng hanggang 70% na pagbaba sa lateral na paggalaw sa panahon ng isang paglabag. Kaya kahit na pumasok ang mga umaatake, ang kanilang kakayahang lumipat sa mga system at magdulot ng pinsala ay lubhang limitado. 

Sa pamamagitan ng paglalagay ng mga banta sa punto ng pagpasok at mahigpit na pamamahala sa pag-access, pinoprotektahan nito ang sensitibong data at binabawasan ang pangkalahatang panganib. Ito ay hindi lamang isa pang item sa isang checklist ng pagsunod, ngunit ito ay isang mahalagang hakbang para sa anumang organisasyong nakatuon sa pananatiling secure laban sa mga umuusbong na banta sa cyber ngayon.

Ano ang Zero Trust Security?

Ang zero trust ay isang diskarte sa seguridad na hindi kailanman ipinapalagay ang tiwala. Dapat patunayan ng bawat user, device, at app kung sino sila bago makakuha ng access, sa bawat pagkakataon, mula sa kahit saan. Ito ay binuo sa tatlong pangunahing ideya: bigyan lamang ng access na kailangan (Least Privilege), palaging suriin ang pagkakakilanlan (Laging I-verify), at bawasan ang mga pagkakataong mapinsala kung may mali (Risk Mitigation).

Isipin ang zero trust bilang digital equivalent ng iyong corporate security. Dahil lang araw-araw kang dumarating, hindi nangangahulugang maaari mong laktawan ang mga tseke. Sa tuwing magpapakita ka, sinusuri ka muli. Ang pagkakakilanlan, layunin, at pag-aari ay muling sinusuri. Ganyan gumagana ang zero trust, maliban kung nalalapat ito sa mga user, device, app, at data.

Sa kaibuturan nito, ang zero trust ay tungkol sa pagbabawas ng implicit trust. Sa halip na ipagpalagay na ang isang tao sa likod ng isang firewall ay ligtas, itinuturing nito ang bawat pakikipag-ugnayan bilang isang potensyal na panganib. Ang pagbabagong ito ang dahilan kung bakit napakaepektibo ng zero trust model sa isang mundo kung saan ang mga banta ay lalong palihim at nagpapatuloy.

Bakit kailangan ang modelo ng Zero Trust Security?

Habang ang mga pagkakakilanlan ay nagiging mas tuluy-tuloy at madalas na nagkakamali, ang mga umaatake ay nakakahanap ng mga bagong paraan, na ginagawang lalong hindi epektibo ang mga tradisyonal na modelo.

Isaalang-alang ito:

• 73% ng mga empleyado ay nagtatrabaho nang malayuan nang hindi bababa sa part-time.
• Mahigit sa 87% ng mga negosyo ang gumagamit ng mga serbisyo sa cloud para sa mga sensitibong workload.
• Ang mga paglabag na nauugnay sa kredensyal ay tumaas ng 25% sa nakaraang taon lamang.[1]

Hindi na lang pumapasok ang mga attacker. Nagla-log in sila. Mga tradisyonal na modelo ng seguridad, na binuo sa ideya ng isang pinagkakatiwalaang perimeter ng network, ngunit hindi na gumagana kapag wala na ang perimeter na iyon.

Zero trust ang modernong solusyon. Tinatrato nito ang bawat user at device bilang hindi pinagkakatiwalaan bilang default, nasa loob man sila o labas ng network. Ibinibigay lang ang access pagkatapos ma-verify kung sino ang user, nasaan sila, kung ano ang sinusubukan nilang i-access, at kung ang isang device ay nakakatugon sa mahigpit na tiwala at mga pamantayan sa pagpapatunay. Ito tiwala sa device tinitiyak lamang ang mga secure at sumusunod na device na kumonekta, na nagdaragdag ng mahalagang layer ng proteksyon. Ito ay isang mas matalino, mas adaptive na paraan upang pangalagaan ang iyong mga system.

Paano gumagana ang Zero Trust?

Ang ideya sa likod ng Zero Trust ay simple: huwag magtiwala, palaging i-verify. Dapat patunayan ng bawat user at device na ligtas sila sa tuwing susubukan nilang i-access ang data o mga application ng kumpanya. Sa ganitong paraan, kahit na dumaan ang isang hacker sa firewall, nahaharap pa rin sila sa maraming pagsusuri bago maabot ang anumang bagay na mahalaga.

Narito kung paano ito gumagana nang hakbang-hakbang:

1. I-authenticate ang user

Ang unang layer ay nagpapatunay kung sino talaga ang tao.

• Multi-Factor Authentication (MFA): Sa halip na password lang, kinukumpirma ng mga user ang pagkakakilanlan gamit ang dagdag na salik tulad ng fingerprint, phone code, o security key.
• Single Sign-On (SSO): Ang mga account ay na-verify laban sa isang pinagkakatiwalaang direktoryo (tulad ng Microsoft o Google) kaya ang mga tunay na empleyado lamang ang maaaring mag-log in.
• Kasalukuyang mga pagsusuri: Kung mapansin ng system ang hindi pangkaraniwang aktibidad, maaari itong humingi muli ng kumpirmasyon ng pagkakakilanlan sa panahon ng session.

2. I-validate ang device

Kahit na ang laptop o telepono ng pinagkakatiwalaang empleyado ay maaaring hindi ligtas. Sinusuri ng Zero Trust kung ang device mismo ay malusog.

• Mga update sa system: Ang device ay dapat na nagpapatakbo ng pinakabagong mga patch ng seguridad upang harangan ang mga kilalang banta.
• Pinagana ang pag-encrypt: Dapat protektahan ang data gamit ang mga built-in na tool tulad ng BitLocker (Windows) o FileVault (macOS).
• Aktibo ang software ng seguridad: Dapat na tumatakbo ang antivirus, proteksyon sa endpoint, o iba pang mga pag-iingat.
• Mga naaprubahang device lang: Limitado ang access sa mga device na pinamamahalaan o kinikilala ng kumpanya.

3. Tayahin ang Konteksto

Ang Zero Trust ay hindi lamang tumitingin sa user at device, isinasaalang-alang din nito ang sitwasyon.

• Lokasyon at network: Ang pag-login ba ay nagmumula sa isang ligtas na IP address, kilalang network ng opisina, o naaprubahang Wi-Fi?
• Oras ng pag-access: Kung may sumubok na mag-log in sa 3 am kung kailan sila ay karaniwang nagtatrabaho 9–5, maaari itong ma-flag bilang kahina-hinala.
• Uri ng aparato: Mas pinagkakatiwalaan ang isang laptop ng kumpanya kaysa sa isang personal na telepono o tablet.

4. Pahintulutan ang pag-access

Kapag na-verify na, hindi makakakuha ng walang limitasyong access ang user. Ang Zero Trust ay nagbibigay lamang ng minimum na access na kinakailangan.

• Mga pahintulot na nakabatay sa tungkulin: Makikita lang ng mga empleyado ang mga file at app na kailangan nila para sa kanilang trabaho.
• Access na limitado sa oras: Ang mga karagdagang pahintulot (tulad ng mga karapatan ng admin) ay ibinibigay lamang sa mga maikling panahon kung kinakailangan.
• Segmentasyon: Ang mga sensitibong sistema ay pinananatiling hiwalay kaya kahit na ang isang lugar ay nilabag, ang umaatake ay hindi malayang makagalaw.

5. Subaybayan ang aktibidad ng user

Ang pag-access ay hindi nangangahulugang kalayaan nang walang pangangasiwa. Patuloy na binabantayan ng system ang hindi pangkaraniwang pag-uugali.

• Mga karaniwang pattern: Kung ang isang tao ay biglang nagda-download ng daan-daang mga file kapag karaniwan ay hindi, ito ay magtataas ng pulang bandila.
• Paggalaw ng data: Malaki o hindi pangkaraniwang paglilipat ng data ay malapit na sinusubaybayan upang maiwasan ang mga pagtagas.
• Pagpapatupad ng patakaran: Kung sinusubukan ng mga user na labagin ang mga panuntunan sa seguridad (tulad ng hindi pagpapagana ng mga proteksyon), papasok ang system.

6. Awtomatikong tumugon

Kung ang isang bagay ay mukhang mapanganib, ang Zero Trust ay agad na nagre-react upang mabawasan ang pinsala.

• Magpadala ng mga alerto: Agad na inaabisuhan ang mga security team tungkol sa mga kahina-hinalang aksyon.
• I-lock o tapusin ang mga session: Maaaring i-freeze o wakasan ang mga mapanganib na session ng user.
• Bawiin ang access: Maaaring i-block ang mga user o device hanggang sa matugunan nilang muli ang mga kinakailangan sa seguridad.
• Iangkop ang mga antas ng seguridad: Maaaring pataasin ng system ang mga pagsusuri (tulad ng paghiling muli ng MFA) kapag mas mataas ang panganib.

Ano ang mga pangunahing prinsipyo ng arkitektura ng Zero Trust?

Ang Zero Trust ay hindi lamang isang teknolohiya, ito ay isang pilosopiya ng seguridad. Sa halip na ipagpalagay na ligtas ang sinuman sa loob ng network ng kumpanya, itinuturing nito ang bawat user, device, at kahilingan bilang potensyal na peligro hanggang sa mapatunayang hindi. Ang pagbabagong ito sa pag-iisip ay ginagawang mas handa ang mga organisasyon na pangasiwaan ang mga modernong banta sa cyber.

Narito ang mga pangunahing prinsipyo ng arkitektura ng Zero Trust:

1. I-verify nang tahasan

Ang bawat kahilingan na ma-access ang data ng kumpanya o mga app ay dapat na ma-verify nang real time, walang mga shortcut.

• Mga pagsusuri sa pagkakakilanlan: Dapat patunayan ng mga user kung sino sila sa pamamagitan ng malalakas na pamamaraan tulad ng MFA at SSO.
• Kamalayan sa konteksto: Isinasaalang-alang ng system ang mga salik gaya ng lokasyon ng tao, ang device na ginagamit nila, at ang oras ng pag-log in.
• Pagsubaybay sa pag-uugali: Kung ang mga aksyon ng isang tao ay hindi tumutugma sa kanilang karaniwang pattern, maaaring mangailangan ng karagdagang pag-verify ang system.

Tinitiyak nito na kahit na magnakaw ng password ang isang hacker, hindi sila madaling makalusot.

2. Gumamit ng hindi bababa sa pribilehiyong pag-access

Inilalapat ng Zero Trust ang panuntunan ng "ibigay lamang ang kailangan, wala nang higit pa."

• Mga kontrol na nakabatay sa tungkulin: Ang isang empleyado ng HR, halimbawa, ay maaaring mag-access ng data ng payroll ngunit hindi magkakaroon ng access sa mga sistema ng engineering.
• Pansamantalang pag-access: Ang mga karagdagang pribilehiyo (tulad ng mga karapatan ng admin) ay ibinibigay lamang kapag kinakailangan at mabilis na binawi pagkatapos gamitin.
• Kontrol ng pinsala: Kung na-hack ang isang account, limitado ang abot ng umaatake sa data lang ng tungkuling iyon.

Lubos nitong binabawasan ang potensyal na pinsala ng mga banta ng tagaloob o mga ninakaw na kredensyal.

3. Ipagpalagay na paglabag

Sa halip na magtanong ng "paano kung ma-hack tayo?" Ang Zero Trust ay gumagana sa ilalim ng mindset na "ipagpalagay na naging tayo na."

• Built-in na containment: Ang mga system ay idinisenyo upang kahit na makapasok ang mga umaatake, hindi sila malayang makapag-browse.
• Mas mabilis na tugon: Palaging handa ang mga security team na tuklasin at kumilos na parang maaaring mangyari ang isang paglabag anumang sandali.
• Mas mahusay na pagpaplano: Ang mindset na ito ay nagtutulak sa mga organisasyon na tumuon sa pagbawi at katatagan, hindi lamang sa pag-iwas.

Sa pamamagitan ng pag-asa sa pinakamasama, mas handa ang mga kumpanya para sa mga banta sa totoong mundo.

4. Microsegmentation

Hinahati-hati ng Zero Trust ang network ng kumpanya sa mas maliit, hiwalay na mga zone.

• Limitadong paggalaw: Kung nilalabag ng mga hacker ang isang segment, hindi sila maaaring lumipat sa isa pa nang hindi nagpapasa ng mga bagong pagsusuri sa seguridad.
• Granular na kontrol: Ang bawat segment ay maaaring magkaroon ng sarili nitong mga panuntunan sa pag-access depende sa sensitivity (hal., financial data vs. employee chat app).
• Nabawasang epekto: Kahit na sa kaso ng kompromiso, ang banta ay nananatili sa loob ng maliit na seksyong iyon.

Isipin ito tulad ng paglalagay ng mga mahahalagang bagay sa magkahiwalay na mga safe sa halip na sa isang malaking vault.

5. Patuloy na pagsubaybay

Ang seguridad ay hindi tumitigil pagkatapos mag-login. Ang bawat session ay masusing pinapanood at sinusuri sa real time.

• Pag-log sa bawat kahilingan: Ang bawat pagtatangkang mag-access ng mga app, file, o system ay sinusubaybayan.
• Pagsusuri ng gawi: Na-flag ang mga kahina-hinalang aktibidad tulad ng pag-log in mula sa isang hindi pangkaraniwang bansa.
• Real-time na pagkilos: Kung may nakitang mga panganib, ang pag-access ay maaaring mapabagal, mai-block, o muling ma-verify kaagad.

Sa ganitong paraan, ang mga banta ay makikita bago sila magdulot ng tunay na pinsala.

6. Pagtitiwala sa device

Hindi sapat ang isang pinagkakatiwalaang user, dapat ding ligtas at sumusunod ang kanilang device.

• Mga pagsusuri sa postura ng seguridad: Dapat na na-update, naka-encrypt, at protektado ng antivirus o endpoint na seguridad ang mga device.
• Na-block ang access kung hindi ligtas: Kahit na mag-log in ang tamang empleyado, tatanggihan ang pag-access kung ang kanilang laptop o telepono ay hindi nakakatugon sa mga kinakailangan.
• Pamamahala ng aparato: Maaaring ipatupad ng mga IT team ang mga panuntunan nang malayuan, na tinitiyak na ang mga malulusog na device lang ang kumonekta.

Pinipigilan nito ang mga umaatake na makalusot sa pamamagitan ng mga ninakaw o nahawaang device.

mga ito Mga prinsipyo ng Zero Trust lumampas sa mga teknikal na tuntunin. Kinakatawan ng mga ito ang pagbabago sa pag-iisip mula sa pagtitiwala sa isang tao dahil lang sila ay "nasa loob ng network ng opisina" hanggang sa pagtitiwala lamang kapag ang pagkakakilanlan, device, at pag-uugali ay patuloy na napatunayan.

Ano ang mga benepisyo ng Zero Trust Security?

Ang Zero Trust ay higit pa sa isang paraan upang harangan ang mga hacker. Lumilikha ito ng tunay na halaga para sa mga negosyo sa pamamagitan ng pagpapabuti ng seguridad, pag-streamline ng mga operasyon, at pagtulong sa pagsunod. Sa halip na tumugon sa mga pag-atake pagkatapos mangyari ang mga ito, pinapanatili ng Zero Trust na kontrolado ang mga panganib at nagbibigay ng pangmatagalang kahusayan.

Narito ang pinakamalaking benepisyo:

1. Pagkulong sa sakuna

Ang tradisyunal na seguridad ay kadalasang nangangahulugan na kung ang isang account o device ay na-hack, ang mga umaatake ay maaaring malayang lumipat sa loob ng network. Pinipigilan ito ng Zero Trust sa pamamagitan ng maagang paglalagay ng mga banta.

• Mas maliit na epekto: Kahit na ninakaw ang mga kredensyal sa pag-log in, limitadong data lang ang maaabot ng umaatake.
• Pinababang downtime: Ang isang nakapaloob na paglabag ay mas madali at mas mabilis na ayusin kaysa sa isang malakihang insidente.
• Kapayapaan ng isip: Alam ng mga security team na ang isang slip-up ay hindi mauuwi sa isang sakuna.

Sa halip na isang ganap na paglabag, ginagawa ito ng Zero Trust sa isang maliit, napapamahalaang insidente.

2. Mas madaling pagsunod sa regulasyon

Natural na sinusuportahan ng Zero Trust ang pagsunod sa mga mahigpit na panuntunan sa proteksyon ng data tulad ng GDPR, HIPAA, CCPA, at mga pananggalang ng PII.

• Malakas na kontrol sa pag-access: Tanging mga na-verify na tao lang ang makakaabot ng sensitibong data.
• Audit trails: Ang bawat pagsubok sa pag-login at pag-access ay naka-log, na ginagawang mas maayos ang mga pag-audit.
• Proteksyon ng data ayon sa disenyo: Ang mga pagsusuri sa seguridad ay binuo sa bawat layer, na umaayon sa mga legal na inaasahan.

Nakakatulong ito sa mga negosyo na maiwasan ang mga mamahaling multa at mapanatili ang tiwala ng customer.

3. Suporta para sa hybrid at remote na trabaho

Ang mga modernong lugar ng trabaho ay hindi na nakatali sa iisang opisina. Kailangang magtrabaho nang ligtas ang mga empleyado mula sa kahit saan at sa anumang device.

• Secure na pag-access nang walang VPN: Tinatanggal ng Zero Trust ang pangangailangan para sa mabagal, hindi napapanahong mga koneksyon sa VPN.
• Pare-parehong karanasan: Sa bahay man, sa opisina, o sa pampublikong Wi-Fi, ang mga empleyado ay nakakakuha ng parehong antas ng seguridad.
• Kakayahang umangkop: Maaaring payagan ng mga kumpanya ang BYOD (dalhin ang iyong sariling device) habang ipinapatupad pa rin ang mga panuntunan sa seguridad.

Nagpapabuti ang pagiging produktibo kapag ang mga empleyado ay maaaring magtrabaho mula saanman nang walang mga hadlang sa seguridad.

4. Naaaksyunan na visibility at kontrol

Sa Zero Trust, ang mga organisasyon ay nakakakuha ng malinaw na mga insight sa kung paano ginagamit ang mga mapagkukunan.

• Sino, ano, kailan, paano: Ang bawat kahilingan sa pag-access ay sinusubaybayan para sa buong visibility.
• Mas mabilis na pagsisiyasat: Sa kaso ng isang paglabag, ang mga log ay nagbibigay ng eksaktong trail ng kung ano ang nangyari.
• Mas mahusay na paggawa ng desisyon: Maaaring makita ng mga IT at security team ang mga pattern at isaayos ang mga patakaran sa seguridad nang naaayon.

Ang visibility ay hindi lamang nagpapalakas ng seguridad ngunit pinapasimple rin ang mga pagsisiyasat at pag-audit.

5. Pangmatagalang pagtitipid sa gastos

Habang ang Zero Trust ay nangangailangan ng pamumuhunan nang maaga, nakakatipid ito ng pera sa paglipas ng panahon sa pamamagitan ng pagbawas sa epekto sa pananalapi ng mga paglabag.

• Mas mababang gastos sa pagbawi: Ang mga maliliit at napapaloob na mga paglabag ay mas mura para ayusin kaysa sa mga malalaking paglabag.
• Mas kaunting mga insidente: Ang mas malakas na pag-iwas ay nangangahulugan ng mas kaunting pagkagambala sa mga operasyon ng negosyo.
• Napatunayang ROI: Nalaman ng isang pag-aaral ng Forrester na ang mga kumpanyang gumagamit ng Zero Trust ay nagbabawas ng mga gastos na nauugnay sa paglabag ng hanggang 31%.^[2]

Sa katagalan, binabayaran ng Zero Trust ang sarili nito sa pamamagitan ng pagtitipid at pag-iwas sa mga pagkalugi.

Ano ang ilang use case para sa zero trust model?

Buhayin natin ang zero trust sa mga totoong halimbawa:

• Malayong seguridad ng manggagawa: Nang ang isang pandaigdigang law firm ay gumawa ng biglaang paglipat sa malayong trabaho noong 2020, mabilis itong nagkaroon ng mga isyu, mga overload na VPN, at mga hindi secure na endpoint na nagbabanta sa mga operasyon. Pagkatapos maglunsad ng zero trust framework, lumipat ang kumpanya sa pag-access na nakabatay sa pagkakakilanlan, na tinitiyak na natutugunan ng mga device ang mga pamantayan sa pagsunod bago kumonekta. Ang mga resulta ay malinaw, hindi awtorisadong mga insidente ng pag-access ay bumaba, at ang mga empleyado ay nakakita ng pagtaas sa pagiging produktibo salamat sa mas maayos, mas maaasahang pag-access.
  
• Proteksyon ng data ng pangangalagang pangkalusugan: Isang malaking network ng ospital ang lumipat sa zero trust para ma-secure ang mga electronic na rekord ng kalusugan sa maraming site. Sa pamamagitan ng pagpapatupad ng microsegmentation at mga kontrol sa pag-access na nakabatay sa tungkulin, nililimitahan nila ang mga user sa data at system lamang na kinakailangan ng kanilang mga tungkulin. Hindi lang tiniyak ng setup ang pagsunod sa HIPAA ngunit naglalaman din ito ng pag-atake ng malware na kung hindi man ay kakalat sa kabila ng isang departamento.
  
• Mga pagsasanib at pagkuha: Sa gitna ng pagkuha ng mas maliit na kumpanya na may hindi kilalang IT environment, umasa ang isang fintech firm sa zero trust principles para mabawasan ang mga panganib. Ang mga bagong user at application ay na-quarantine hanggang sila ay ganap na napatunayan. Ang maingat na onboarding na ito ay humadlang sa mga potensyal na kahinaan mula sa paggapang sa pangunahing imprastraktura.
  
• Seguridad sa imprastraktura ng ulap: Isang digital-only na bangko ang nagpatibay ng zero trust para protektahan ang cloud-native stack nito, kabilang ang mga API, storage, at mga tool sa pamamahala. Inilagay ang tuluy-tuloy na pagpapatotoo at mga kontrol sa pag-access na nakabatay sa tungkulin, na pinutol ng kalahati ang pagkakalantad na nauugnay sa maling configuration.
  
• Proteksyon ng pipeline ng CI/CD: Upang i-lock down ang proseso ng pagbuo nito, ipinatupad ng isang SaaS provider ang zero trust sa buong pipeline ng CI/CD nito. Maa-access lang ng mga engineer ang mga repository mula sa mga sumusunod na device, na may madalas na pag-ikot ng token at mga dynamic na pag-apruba para sa access sa produksyon. Ang hakbang ay makabuluhang nabawasan ang banta ng mga kompromiso sa supply chain.

Pinakamahuhusay na kagawian para ipatupad ang Zero Trust Security sa iyong organisasyon

Ang pagpapatupad ng Zero Trust na diskarte ay hindi nangyayari sa isang gabi. Ito ay isang unti-unting proseso na pinagsasama ang tamang teknolohiya, malinaw na mga patakaran sa seguridad, at isang pagbabago sa mindset ng organisasyon. Narito ang ilang pinakamahuhusay na kagawiang maaaring sundin ng iyong organisasyon:

1. Mamuhunan sa isang Zero Trust access solution tulad ng OneIdP

Ang tamang paglalakbay sa Zero Trust ay nagsisimula sa tamang pundasyon. Kung walang sentralisadong solusyon, madalas na nagsasalamangka ang mga IT team ng maraming tool, na humahantong sa mga gaps sa visibility at kontrol. Sa isang zero trust solution tulad ng Scalefusion OneIdP, maaari mong pag-isahin ang pagkakakilanlan at pamamahala sa pag-access, pagpapatotoo, at mga patakaran sa pag-access sa ilalim ng isang bubong. Ginagawa nitong mas madali ang patuloy na pagpapatupad ng seguridad at binabawasan ang pagkakataon ng pagkakamali ng tao o pangangasiwa.

2. Ipatupad ang pagpapatunay ng device bago magbigay ng access

Ang pagpayag sa anumang device na kumonekta sa mga corporate system ay tulad ng pag-iwan sa pinto ng opisina na naka-unlock. Ang isang nakompromisong laptop o lumang telepono ay maaaring maging isang madaling entry point para sa mga umaatake. Sa pamamagitan ng pagpapatupad ng pag-authenticate ng device, tinitiyak mo na ang mga na-verify, sumusunod, at secure na device lang ang makakakuha ng access. Halimbawa, ang personal na tablet ng isang empleyado na walang mga patch ng seguridad ay hindi dapat pahintulutan na ma-access ang mga sensitibong email ng kumpanya.

3. Gumamit ng federated identity para sa tuluy-tuloy at secure na mga pag-login

Ang pamamahala ng maramihang pag-login ay lumilikha hindi lamang ng pagkabigo ng user kundi pati na rin ng mga hindi kinakailangang panganib sa seguridad. Madalas na muling ginagamit ng mga empleyado ang mahihinang password sa mga app, na maaaring pagsamantalahan ng mga hacker.Federated identity binabawasan ang panganib na ito sa pamamagitan ng pagpapagana ng isang secure na pag-log in sa maraming system. Halimbawa, maaaring ma-access ng isang sales manager ang mga portal ng CRM, email, at HR na may isang pinagkakatiwalaang kredensyal sa halip na mag-juggling ng tatlong magkakaibang mga pag-login.

4. Magpatibay ng mga kontrol sa pag-access na may kamalayan sa konteksto

Ang seguridad ay hindi dapat one-size-fits-all. Halimbawa, maaaring ganap na ligtas para sa isang empleyado na ma-access ang data ng payroll mula sa opisina sa mga oras ng trabaho, ngunit ang parehong kahilingan mula sa isang hindi kilalang device sa hatinggabi ay dapat magtaas ng pulang bandila. Nagbibigay-daan sa iyo ang mga kontrol sa seguridad na alam sa konteksto na iakma ang mga pahintulot sa pag-access batay sa gawi ng user, lokasyon, kalusugan ng device, o sensitivity ng data. Nakakatulong ito na balansehin ang seguridad na may kakayahang umangkop.

5. Ilapat ang adaptive na seguridad na tumutugon sa real time

Ang mga tradisyunal na hakbang sa seguridad ay madalas na tumitingin sa pag-login at pagkatapos ay ipagpalagay na ang lahat ay ligtas. Ngunit paano kung ang isang hacker ay nag-hijack ng isang session sa kalagitnaan? Kung walang patuloy na pagsubaybay, ang mga naturang paglabag ay maaaring hindi napapansin. Ang adaptive na seguridad ay patuloy na nagbabantay sa buong session. Kung ang kahina-hinalang aktibidad ay lumilitaw na parang biglaang pag-download ng file mula sa isang hindi pangkaraniwang lokasyon, maaaring agad na paghigpitan o bawiin ng system ang pag-access, na huminto sa mga pagbabanta bago sila lumaki.

6. Bumuo ng kultura ng seguridad sa pamamagitan ng pagsasanay sa empleyado

Kahit na ang pinakamahuhusay na solusyon sa seguridad ay maaaring maikli kung hindi alam ng mga empleyado ang kanilang tungkulin sa pagprotekta sa data ng kumpanya. Ang mga scam sa phishing, mahinang password, o walang ingat na pagbabahagi ng data ay kadalasang lumalampas sa mga teknikal na pananggalang. Ang regular na pagsasanay sa mga empleyado sa pinakamahuhusay na kagawian sa seguridad gaya ng pagtukoy ng mga kahina-hinalang email, pag-uulat ng hindi pangkaraniwang aktibidad ng account, at pagsunod sa mga patakaran sa pag-access ng kumpanya ay lumilikha ng kulturang una sa seguridad. Sa isang modelo ng Zero Trust, kung saan ang bawat aksyon ay na-verify, ang mga empleyado ay dapat na aktibong kalahok sa pagtatanggol, hindi lamang mga passive na gumagamit ng teknolohiya.

I-secure ang iyong organisasyon gamit ang Zero Trust Access gamit ang OneIdP

Ang Zero Trust ay tungkol sa hindi pag-aakalang anumang bagay ay ligtas hanggang sa ito ay ma-verify. Dapat patunayan ng bawat user, device, at app kung sino sila bago makakuha ng access. Tinutulungan ng diskarteng ito ang mga negosyo na manatiling protektado mula sa mga banta ng tagaloob, mga panganib sa malayong trabaho, at mga puwang sa seguridad sa ulap.

Ang OneIdP ay isang Zero Trust Access na solusyon na ginagawang madali itong ilagay sa lugar. Sinusuri nito ang bawat pag-log in, ipinapatupad ang tamang mga patakaran sa pag-access, at pinapanatiling ligtas ang iyong data nang hindi nagpapabagal sa trabaho. Sa pamamagitan ng pagsunod sa isang pinagkakatiwalaang framework ng seguridad tulad ng NIST 800-207, tinutulungan ng OneIdP ang iyong negosyo na manatiling secure at sumusunod sa parehong oras.

Maraming nangungunang kumpanya ang gumagamit na ng Zero Trust para manatiling nangunguna sa mga banta. Sa OneIdP, maaari mong dalhin ang parehong proteksyon sa iyong organisasyon.

Sanggunian: 

1. NIST
2. Pag-aaral ng Forester

FAQs

1. Ano ang Zero Trust Network Access (ZTNA)?

Ang Zero Trust Network Access ay isang paraan ng seguridad na hindi awtomatikong nagtitiwala sa sinumang user o device. Sa halip, bini-verify nito ang pagkakakilanlan, kalusugan ng device, at konteksto bago payagan ang pag-access sa mga application o data. Binabawasan nito ang mga panganib mula sa mga banta ng tagaloob, mga ninakaw na kredensyal, at mga hindi secure na device.

2. Ano ang limang haligi ng Zero Trust?

Ang modelo ng Zero Trust ay binuo sa limang pangunahing lugar:

• Seguridad ng Pagkakakilanlan: Tinitiyak na ang mga tamang user lang ang makakakuha ng access.
• Seguridad ng Device: Sinusuri kung ligtas at napapanahon ang mga device.
• Seguridad ng Application: Pinoprotektahan ang mga application mula sa hindi awtorisadong paggamit.
• Seguridad ng data: Tinitiyak na ang sensitibong impormasyon ay naa-access lamang ng mga aprubadong user.
• Seguridad ng network: Pagkontrol kung paano gumagalaw ang data sa mga network at pagpigil sa maling paggamit.

3. Paano mas mahusay ang diskarte sa Zero Trust kaysa sa tradisyonal na diskarte sa seguridad?

Ang tradisyunal na seguridad ay umaasa sa isang secure na perimeter, kung saan kapag ikaw ay “nasa loob,” mapagkakatiwalaan ka. Tinatanggal ng Zero Trust ang bulag na tiwala na ito. Patuloy nitong sinusuri ang pagkakakilanlan, kalusugan ng device, at pag-uugali, na nagpapalakas nito laban sa mga modernong banta sa cyber tulad ng phishing, ransomware, at pag-atake ng insider.

4. Mas mahusay ba ang Zero Trust framework kaysa sa GDPR security framework?

Ang Zero Trust at GDPR ay hindi pareho ngunit nagtutulungan. Ang GDPR ay isang regulasyon na nagpoprotekta sa personal na data at privacy, pangunahin para sa mga organisasyong humahawak sa data ng EU. Ang Zero Trust ay isang diskarte sa seguridad na nagsisiguro na ang mga na-verify na user at device lang ang makaka-access ng data at system. Tinutulungan ng Zero Trust ang mga organisasyon na manatiling sumusunod sa GDPR sa pamamagitan ng pagbabawas sa panganib ng mga paglabag sa data.

5. Pinapabagal ba ng Zero Trust ang trabaho ng mga empleyado?

Hindi. Ang isang mahusay na ipinatupad na Zero Trust na solusyon, tulad ng OneIdP, ay ginagawang maayos ang pag-access sa pamamagitan ng paggamit ng solong pag-sign-on, mga pagsusuring batay sa konteksto, at mga adaptive na patakaran. Nangangahulugan ito na ang mga empleyado ay maaaring magtrabaho nang ligtas nang walang patuloy na pagkaantala, habang ang mga pangkat ng seguridad ay nagpapanatili ng malakas na kontrol.