A legtöbb kiberbiztonsági szakértő az adat- és rendszerbiztonság legmagasabb fokaként tekint a Zero Trust stratégiára. A stratégia célja, hogy megakadályozza a kiberbűnözők behatolását a rendszerbe, ami a legrosszabb esetben akár adatlopással is járhat.
A biztonsági koncepció mögött egy az egyszerű kijelentés áll: „Ne bízz senkiben, sem a vállalati hálózaton belül, sem azon kívül.” Ki kell zárni a már hálózaton belül lévő támadókat, például a rosszindulatú alvó szoftver sejteket (malware sleeper cell), vagy a vállalat után kémkedő támadókat, ezért minden adathozzáférést külön ellenőrizni és engedélyezni kell. Ez azonban a felhasználók számára egy újabb biztonsági intézkedést jelent, mivel – elméletileg – minden egyes bejelentkezéskor vagy alkalmazáshoz való hozzáféréskor újra hitelesíteniük kell magukat. A Zero Friction koncepció zökkenőmentes felhasználói élményt ígér. Ez azonban rendszerint szemben áll a Zero Trust-tal. Ha szeretné megtudni, hogy mért nem kell választani a biztonság és a felhasználóbarát kialakítás között, és miért a Zero Friction jelenti a Zero Trust jövőjét, olvassa el legújabb blogbejegyzésünket.
Zero Trust: definíció és intézkedések
A Zero Trust modell azon a feltételezésen alapul, hogy a vállalati hálózatban senki sem megbízható – sem a felhasználó, sem az eszköz, sem az alkalmazás. Ezért minden belső vagy külső adathozzáférési kérelmet ellenőrizni és engedélyezni kell, mert előfordulhat, hogy a rosszindulatú szoftverek vagy hackerek már a rendszerben vannak. A biztonsági szakértők különböző komponenseket és megközelítéseket ajánlanak ezen adatok védelmére.
Ez azt jelenti, hogy a vállalatoknak részletesen meg kell határozniuk, hogy mely adatok, alkalmazások és erőforrások a legfontosabbak a napi működés szempontjából, illetve ki és hogyan férhet hozzá ezekhez. Ha az adatok és az elérési útvonalak már kategorizálva vannak, célszerű meghatározni ezen
adatok helyét is. Ily módon egy támadás után az is megállapítható, hogy a hacker csupán a menza étlapját lopta-e el, vagy éppen személyes, érzékeny adatokat. Az informatikai biztonsági felépítés sebezhetőségeit hasonlóképp lehet feltárni.
A folyamat során létrejön egy szabályrendszer, amely meghatározza az adathozzáférésre vonatkozó feltételeket is. Például az egyénnek sikeresen hitelesítenie kell magát egy többlépcsős hitelesítéssel, mielőtt hozzáférhetne bizonyos adatokhoz vagy alkalmazásokhoz.
Ez csak néhány a Zero Trust stratégia intézkedései közül, amelyeket a vállalatoknak be kellene tartaniuk ahhoz, hogy az adataik és alkalmazásaik védve legyenek.
Zero Friction: előtérben a felhasználói élmény
A Zero Friction koncepció elsődleges célja, hogy minden felhasználó számára zökkenőmentes felhasználói élményt biztosítson. A koncepció úgy került kialakításra, hogy minimalizálja vagy kiküszöbölje az ügyfélút (customer journey) során felmerülő ismétlődő pontokat, például egy rendszerbe való bejelentkezés folyamatát.
Minden azzal a felhasználói felülettel kezdődik, amellyel a felhasználó először találkozik. Ezeket alapvetően úgy kell megtervezni, hogy az ügyfél gyors tájékozódása biztosított legyen. Fontos kiemelni pár funkciót, mint például az oldalak gyors betöltése vagy az olyan automatikus megoldások, mint az előre kitöltött űrlapok, illetve az elérhető szolgáltatások és alkalmazások zökkenőmentes integrációja.
Mindezek mellett kulcsszerepet játszik a regisztráció folyamata is. Fontos, hogy ez a lehető legegyszerűbb legyen és támogassa az egyszeri bejelentkezést (Single Sign-On, SSO), hogy a felhasználónak ne kelljen minden alkalmazásban ezt külön-külön megtennie.
Zero Trust és Zero Friction – az érem ugyanazon oldala
A Zero Friction hitelesítési módszerek segítenek a vállalatoknak megvédeni érzékeny adataikat anélkül, hogy a felhasználói élmény romlana. Így lehetővé válik a többlépcsős hitelesítés használata (MFA), amely több, eltérő hitelesítési adatot dolgoz fel a felhasználó személyazonosságának ellenőrzésére – ezzel igen magas szintű biztonságot nyújtva. A bejelentkezési folyamat egyszerűsítésében a biometrikus azonosítás nyújt további előnyöket. Ebben az esetben a felhasználó ujjlenyomattal, arcfelismeréssel vagy írisz szkenneléssel hitelesíthető. Ezeknek köszönhetően nem kell hosszú jelszavakat megjegyezni – amelyek általános vélekedés szerint nem is biztonságosak-, sőt a bejelentkezés jelszó nélkül is elvégezhető.
Egy másik módszer a felhasználók életének a megkönnyítésére a folyamatos hitelesítés, amely biztosítja, hogy a felhasználóknak ne kelljen ismétlődően bejelentkeznie egy munkamenet során. A rendszer folyamatosan ellenőrzi a felhasználó személyazonosságát a helyinformációk, az eszköz IP-címe és a viselkedési minták alapján. Ha ezekben váratlan eltérések tapasztalhatók, a rendszer a felhasználó újbóli hitelesítését kezdeményezheti.
A fent említett hitelesítési módszerekkel a biztonsági intézkedések, egyszerűen és átlátható módon kezelhetők.
Kéz a kézben: adatbiztonság és zökkenőmentes felhasználói élmény
Ha egy vállalat zökkenőmentes felhasználói élményt kínálna az ügyfeleinek, nem teheti azt a biztonság rovására. Ezzel szemben, ha túl sok (és gyakran szükségtelen) biztonsági intézkedés kerül bevezetésre, a felhasználók túlterheltek és frusztráltak lesznek, amely a vállalatot pénzügyi szempontból is érintheti. Egyensúlyt kell teremteni a két prioritás között. Ez az egyetlen módja annak, hogy garantálni tudjuk a legmagasabb biztonsági követelményeknek való megfelelést és a pozitív ügyfélélményt.