Zero Trust: как работает принцип нулевого доверия

Граница материала: Архитектурный подход: явно проверять каждый запрос, ограничивать права и исходить из возможности взлома. Это не один продукт и не просто VPN. Сквозной пример — сотрудники и подрядчики работают с облачными системами из разных сетей и устройств. Каждый раздел заканчивается решением или доказательством, которое можно проверить через показатель: покрытие сильной аутентификацией, избыточные права, доверенные по умолчанию сегменты, риск сессий и время локализации.

Описать защищаемые ресурсы: Zero Trust

Исключение не должно становиться постоянным обходом. Для шага «описать защищаемые ресурсы» владелец актива записывает артефакт операции «описать защищаемые ресурсы» для темы «Zero Trust»: свидетельство защиты по шагу «описать защищаемые ресурсы» с датой, источником и итогом теста, причину, компенсирующую меру и срок закрытия. В «Zero Trust» регулярно ищите просроченные исключения. Ошибка: при действии «описать защищаемые ресурсы» в теме «Zero Trust» возникает отклонение: для «описать защищаемые ресурсы» нет проверки в контуре «Zero Trust».

• Исключение: «описать защищаемые ресурсы» в системе «Zero Trust».
• Кто принимает: владелец актива.
• Компенсация: артефакт операции «описать защищаемые ресурсы» для темы «Zero Trust»: свидетельство защиты по шагу «описать защищаемые ресурсы» с датой, источником и итогом теста.
• Просрочка: при действии «описать защищаемые ресурсы» в теме «Zero Trust» возникает отклонение: для «описать защищаемые ресурсы» нет проверки в контуре «Zero Trust».

Инвентаризировать личности и устройства: Zero Trust

После «инвентаризировать личности и устройства» пересмотрите модель «Zero Trust». руководитель безопасности сопоставляет артефакт операции «инвентаризировать личности и устройства» для темы «Zero Trust»: свидетельство защиты по шагу «инвентаризировать личности и устройства» с датой, источником и итогом теста с показателем «покрытие сильной аутентификацией, избыточные права, доверенные по умолчанию сегменты, риск сессий и время локализации» и обновляет правила по факту. Отдельно сохраните удачные и неудачные решения. При риске «при действии «инвентаризировать личности и устройства» в теме «Zero Trust» возникает отклонение: для «инвентаризировать личности и устройства» нет проверки в контуре «Zero Trust»» назначьте повторную проверку.

• Урок: «инвентаризировать личности и устройства» в системе «Zero Trust».
• Кто закрепляет: руководитель безопасности.
• Новое правило: артефакт операции «инвентаризировать личности и устройства» для темы «Zero Trust»: свидетельство защиты по шагу «инвентаризировать личности и устройства» с датой, источником и итогом теста.
• Повторная проверка: при действии «инвентаризировать личности и устройства» в теме «Zero Trust» возникает отклонение: для «инвентаризировать личности и устройства» нет проверки в контуре «Zero Trust».

Убрать доверие к расположению: Zero Trust

Для контроля «Zero Trust» сначала определите защищаемый объект. На операции «убрать доверие к расположению» архитектор защиты оформляет артефакт операции «убрать доверие к расположению» для темы «Zero Trust»: свидетельство защиты по шагу «убрать доверие к расположению» с датой, источником и итогом теста. Проверьте сценарий «сотрудники и подрядчики работают с облачными системами из разных сетей и устройств» с обычным пользователем и нарушителем. Риск «при действии «убрать доверие к расположению» в теме «Zero Trust» возникает отклонение: для «убрать доверие к расположению» нет проверки в контуре «Zero Trust»» означает, что мера существует только формально.

• Актив: «убрать доверие к расположению» в системе «Zero Trust».
• Владелец: архитектор защиты.
• Доказательство: артефакт операции «убрать доверие к расположению» для темы «Zero Trust»: свидетельство защиты по шагу «убрать доверие к расположению» с датой, источником и итогом теста.
• Пробел: при действии «убрать доверие к расположению» в теме «Zero Trust» возникает отклонение: для «убрать доверие к расположению» нет проверки в контуре «Zero Trust».

Усилить аутентификацию: Zero Trust

Шаг «усилить аутентификацию» оценивают по снижению реального риска. В контуре «Zero Trust» администратор системы сохраняет артефакт операции «усилить аутентификацию» для темы «Zero Trust»: свидетельство защиты по шагу «усилить аутентификацию» с датой, источником и итогом теста, границу действия и известные исключения. Сопоставьте угрозу, стоимость меры и показатель «покрытие сильной аутентификацией, избыточные права, доверенные по умолчанию сегменты, риск сессий и время локализации». Если остаётся «при действии «усилить аутентификацию» в теме «Zero Trust» возникает отклонение: для «усилить аутентификацию» нет проверки в контуре «Zero Trust»», решение возвращают на уточнение.

• Угроза: «усилить аутентификацию» в системе «Zero Trust».
• Кто решает: администратор системы.
• Оценка меры: артефакт операции «усилить аутентификацию» для темы «Zero Trust»: свидетельство защиты по шагу «усилить аутентификацию» с датой, источником и итогом теста.
• Остаточный риск: при действии «усилить аутентификацию» в теме «Zero Trust» возникает отклонение: для «усилить аутентификацию» нет проверки в контуре «Zero Trust».

Проверять контекст запроса: Zero Trust

Не доверяйте одному сигналу. Для действия «проверять контекст запроса» владелец данных собирает артефакт операции «проверять контекст запроса» для темы «Zero Trust»: свидетельство защиты по шагу «проверять контекст запроса» с датой, источником и итогом теста минимум из двух независимых источников. На примере «сотрудники и подрядчики работают с облачными системами из разных сетей и устройств» проверьте ложноположительный и пропущенный случаи. При риске «при действии «проверять контекст запроса» в теме «Zero Trust» возникает отклонение: для «проверять контекст запроса» нет проверки в контуре «Zero Trust»» автоматическое решение ограничивают.

• Сигнал: «проверять контекст запроса» в системе «Zero Trust».
• Кто проверяет: владелец данных.
• Два источника: артефакт операции «проверять контекст запроса» для темы «Zero Trust»: свидетельство защиты по шагу «проверять контекст запроса» с датой, источником и итогом теста.
• Ошибка детектора: при действии «проверять контекст запроса» в теме «Zero Trust» возникает отклонение: для «проверять контекст запроса» нет проверки в контуре «Zero Trust».

Выдавать минимальный доступ: Zero Trust

Разделите предупреждение и блокировку. В системе «Zero Trust» операция «выдавать минимальный доступ» получает владельца аналитик SOC, правило реакции и артефакт операции «выдавать минимальный доступ» для темы «Zero Trust»: свидетельство защиты по шагу «выдавать минимальный доступ» с датой, источником и итогом теста. Сначала протестируйте наблюдение, затем влияние на работу. Признак остановки: при действии «выдавать минимальный доступ» в теме «Zero Trust» возникает отклонение: для «выдавать минимальный доступ» нет проверки в контуре «Zero Trust».

• Режим реакции: «выдавать минимальный доступ» в системе «Zero Trust».
• Кто включает: аналитик SOC.
• Запись события: артефакт операции «выдавать минимальный доступ» для темы «Zero Trust»: свидетельство защиты по шагу «выдавать минимальный доступ» с датой, источником и итогом теста.
• Влияние на работу: при действии «выдавать минимальный доступ» в теме «Zero Trust» возникает отклонение: для «выдавать минимальный доступ» нет проверки в контуре «Zero Trust».

Сегментировать ресурсы: Zero Trust

Права на шаге «сегментировать ресурсы» выдаются под конкретную функцию и срок. Для «Zero Trust» координатор изменений подтверждает артефакт операции «сегментировать ресурсы» для темы «Zero Trust»: свидетельство защиты по шагу «сегментировать ресурсы» с датой, источником и итогом теста. Проверьте отзыв после смены роли и аварийный доступ. Ситуация «при действии «сегментировать ресурсы» в теме «Zero Trust» возникает отклонение: для «сегментировать ресурсы» нет проверки в контуре «Zero Trust»» требует немедленного разбора.

• Минимальное право: «сегментировать ресурсы» в системе «Zero Trust».
• Кто одобряет: координатор изменений.
• Срок доступа: артефакт операции «сегментировать ресурсы» для темы «Zero Trust»: свидетельство защиты по шагу «сегментировать ресурсы» с датой, источником и итогом теста.
• Лишняя привилегия: при действии «сегментировать ресурсы» в теме «Zero Trust» возникает отклонение: для «сегментировать ресурсы» нет проверки в контуре «Zero Trust».

Собирать телеметрию сессий: Zero Trust

Доказательство безопасности должно пережить смену исполнителя. На этапе «собирать телеметрию сессий» группа реагирования хранит артефакт операции «собирать телеметрию сессий» для темы «Zero Trust»: свидетельство защиты по шагу «собирать телеметрию сессий» с датой, источником и итогом теста в общей системе. Для случая «сотрудники и подрядчики работают с облачными системами из разных сетей и устройств» воспроизведите проверку по инструкции. Если возникает «при действии «собирать телеметрию сессий» в теме «Zero Trust» возникает отклонение: для «собирать телеметрию сессий» нет проверки в контуре «Zero Trust»», процедуру нельзя считать рабочей.

• Процедура: «собирать телеметрию сессий» в системе «Zero Trust».
• Кто выполняет: группа реагирования.
• Повторяемый тест: артефакт операции «собирать телеметрию сессий» для темы «Zero Trust»: свидетельство защиты по шагу «собирать телеметрию сессий» с датой, источником и итогом теста.
• Зависимость от человека: при действии «собирать телеметрию сессий» в теме «Zero Trust» возникает отклонение: для «собирать телеметрию сессий» нет проверки в контуре «Zero Trust».

Исходить из возможного взлома: Zero Trust

Изменение защиты проходит управляемый выпуск. Для «исходить из возможного взлома» владелец исключения прикладывает артефакт операции «исходить из возможного взлома» для темы «Zero Trust»: свидетельство защиты по шагу «исходить из возможного взлома» с датой, источником и итогом теста, тест, план отката и окно наблюдения. В теме «Zero Trust» сравните риск до и после. При условии «при действии «исходить из возможного взлома» в теме «Zero Trust» возникает отклонение: для «исходить из возможного взлома» нет проверки в контуре «Zero Trust»» выпуск останавливают.

• Изменение: «исходить из возможного взлома» в системе «Zero Trust».
• Кто выпускает: владелец исключения.
• Тест и откат: артефакт операции «исходить из возможного взлома» для темы «Zero Trust»: свидетельство защиты по шагу «исходить из возможного взлома» с датой, источником и итогом теста.
• Стоп выпуска: при действии «исходить из возможного взлома» в теме «Zero Trust» возникает отклонение: для «исходить из возможного взлома» нет проверки в контуре «Zero Trust».

Внедрять по приоритетным потокам: Zero Trust

Инцидентный сценарий проверяется заранее. Во время «внедрять по приоритетным потокам» независимый аудитор использует артефакт операции «внедрять по приоритетным потокам» для темы «Zero Trust»: свидетельство защиты по шагу «внедрять по приоритетным потокам» с датой, источником и итогом теста и фиксирует время обнаружения, ограничения и восстановления. На примере «сотрудники и подрядчики работают с облачными системами из разных сетей и устройств» проведите настольную тренировку. Риск «при действии «внедрять по приоритетным потокам» в теме «Zero Trust» возникает отклонение: для «внедрять по приоритетным потокам» нет проверки в контуре «Zero Trust»» становится задачей с датой.

• Сценарий: «внедрять по приоритетным потокам» в системе «Zero Trust».
• Кто реагирует: независимый аудитор.
• Хронология: артефакт операции «внедрять по приоритетным потокам» для темы «Zero Trust»: свидетельство защиты по шагу «внедрять по приоритетным потокам» с датой, источником и итогом теста.
• Неготовая роль: при действии «внедрять по приоритетным потокам» в теме «Zero Trust» возникает отклонение: для «внедрять по приоритетным потокам» нет проверки в контуре «Zero Trust».

Матрица контроля и владения

Что изучить дальше

• инциденты с ИИ
• маскирование данных
• персональные данные в ИИ
• маскирование данных
• качество данных
• аудит ИИ-систем

Чек-лист запуска