Zero Trust для малого та середнього бізнесу: що це та чи потрібно впроваджувати в Україні

Zero Trust (нульова довіра) — модель кібербезпеки, побудована на принципі Never Trust, Always Verify (ніколи не довіряй, завжди перевіряй). Вона передбачає, що жоден користувач, пристрій або застосунок не вважається безпечним лише тому, що знаходиться всередині корпоративної мережі. 

Модель нульової довіри прийшла на заміну традиційній моделі Castle-and-Moat (замок і рів). Десятиріччями більшість компаній працювала з офісів, а корпоративні дані зберігали на внутрішніх серверах. Пристрої працівників перевіряли на вході, а всередині «замку» вони отримували повний доступ до систем.

Усе змінилося, коли бізнеси перейшли в онлайн — тепер працівники підключаються з особистих пристроїв, дані збережено в хмарі, доступ надають партнерам та підрядникам. Кожен ґаджет — потенційний «чорний хід», крізь який може потрапити шкідливе програмне забезпечення.

Zero Trust має три основні правила:

• перевіряти кожен пристрій, застосунок та особу щоразу, ніби система взаємодіє з нею вперше;
• надавати мінімальні доступи — лише ті, що необхідні для роботи конкретного працівника;
• сприймати будь-яку спробу доступу як потенційну атаку.

Zero Trust передбачає постійний аналіз активності пристроїв. Якщо користувач поводиться незвично, наприклад, зазвичай працює з Києва, і раптом заходить в акаунт із Нью-Йорка, система може вимагати додаткову автентифікацію чи заблокувати доступ. Додатково перевіряє самі пристрої: чи встановлено останні оновлення, чи працює антивірус, чи не виявлено ознак компрометації. 

Корпоративну інфраструктуру поділяють на мікросегменти — до кожного потрібен окремий доступ. Розробники не можуть просто зайти в системи HR-відділу чи команди підтримки. Для багатьох входів використовують багатофакторну автентифікацію — окрім логіна та пароля, треба ввести код, що приходить на телефон.

Zero Trust — це не програмне забезпечення, яке можна встановити один раз та забути про кібербезпеку бізнесу. Це концепція, що потребує глобальних змін на рівні керівництва та кожного працівника.

Покроковий план:

1. Оцініть поточну ситуацію. Проаналізуйте, які пристрої, користувачі, сервери, хмарні сервіси та інформаційні системи використовуються в компанії. Визначте, які дані критично важливі для бізнесу, та заплануйте захистити їх у першу чергу. 
2. Перевірте права доступу. Проведіть аудит облікових записів користувачів, видаліть неактуальні. Перегляньте права доступу і залиште лише необхідні. 
3. Заплануйте зміни маленькими кроками. Не переводьте всю компанію на нову модель за вихідні. Почніть з одного відділу, групи користувачів або окремої інформаційної системи та масштабуйтеся поступово.
4. Впроваджуйте принципи нульової довіри: увімкніть багатофакторну автентифікацію, сегментуйте мережу на окремі вузли, перевірте, що комп’ютери, смартфони та інші пристрої мають актуальні оновлення, антивіруси та налаштовані політики безпеки, підключіть безперервний моніторинг систем.
5. Навчайте працівників кібергігієни. Навіть найкращі технічні рішення не усунуть людський фактор.
6. Регулярно удосконалюйте системи безпеки. Переглядайте політики безпеки, аналізуйте нові ризики та адаптуйте захист відповідно до змін в ІТ-інфраструктурі й бізнесі.

Якщо ваша компанія використовує Microsoft 365 або планує перехід, більшість необхідних інструментів для побудови моделі нульової довіри уже доступні в екосистемі Microsoft. Залежно від тарифу ви знайдете:

• Microsoft Intune — допомагає керувати особистими та корпоративними пристроями працівників. Адміністратор може перевірити, чи оновлено операційну систему, чи встановлено антивірус, чи відповідає пристрій політикам безпеки компанії.
• Microsoft Entra ID — дозволяє налаштовувати правила входу залежно від розташування, типу пристрою, ризику облікового запису тощо. 
• Microsoft Defender for Business — захищає комп'ютери від вірусів, програм-вимагачів, фішингових атак та інших кіберзагроз. Сервіс постійно аналізує активність на пристроях, допомагає швидко виявляти підозрілу поведінку та реагувати на інциденти ще до того, як вони завдадуть шкоди бізнесу. 

Ви можете підключити пакет програм Microsoft 365 для продуктивної роботи команди за допомогою Київстар — стратегічного партнера Microsoft в Україні. Наші спеціалісти підтвердили 15 професійних компетенцій для роботи з продуктами Microsoft. Консультуємо щодо міграції та забезпечуємо подальшу підтримку, включно з навчанням вашої команди.

Найбільша перевага моделі Zero Trust — це можливість знизити ризик кібератаки. Модель добре підходить для гібридної роботи, бізнесів будь-якого розміру, працівників, які підключаються зі своїх пристроїв (принцип BYOD — Bring Your Own Device, принеси свій ґаджет), та хмарних сервісів, де немає чіткого «периметру» мережі.

Недолік у тому, що потрібні час, ресурси та інвестиції, аби перебудувати IT-інфраструктуру, перевірити старі облікові записи та права доступу, інтегрувати необхідні інструменти та навчити працівників користуватися ними.

Проте зараз впровадити Zero Trust значно простіше, ніж десять років тому. Більшість потрібних інструментів доступні в хмарних платформах — часто не треба купувати окремі сервіси, достатньо покращити те, що вже є.

У більшості випадків — так. Якщо раніше модель нульової довіри в основному використовували корпорації, то сьогодні вона актуальна для малого та середнього бізнесу.

Zero Trust варто впроваджувати, якщо ваша компанія:

• використовує Microsoft 365, Google Workspace або інші хмарні сервіси;
• дозволяє працювати віддалено чи в гібридному форматі на власних пристроях;
• зберігає конфіденційні дані клієнтів або фінансову інформацію;
• надає доступ до внутрішніх систем підрядникам чи партнерам.

Zero Trust допомагає зменшити ризики, навіть якщо пароль одного з працівників буде викрадено, а пристрій скомпроментовано. Малий та середній бізнеси можуть реалізувати Zero Trust поступово — почати з багатофакторної автентифікації, переглянути права доступу та захист робочих пристроїв, а згодом розширити систему безпеки.