Zašto je „nulto poverenje“ postalo imperativ moderne sajber bezbednosti

Zlatno doba digitalne bezbednosti, u kojem se bezbrižno verovalo svemu što se nalazi unutar korporativne mreže, definitivno je završeno. Decenijama unazad, arhitektura digitalne odbrane počivala je na konceptu srednjovekovne tvrđave: spoljni svet je opasan, dok se onima koji su jednom kročili iza bedema i uspešno prošli proveru identiteta bezrezervno verovalo.

Međutim, savremeni pejzaž pretnji temeljno je dekonstruisao ovu mantru. Hakeri više ne provaljuju nužno glavnu kapiju uz prasak eksploziva; oni se danas šunjaju unutar sistema koristeći ukradene akreditive, kompromitovane uređaje i manipulisane korisničke naloge. Kada se napadač jednom nađe unutra, stari sistemi su mu prostirali crveni tepih, omogućavajući slobodno kretanje ka najosetljivijim bazama podataka.

Anatomija koncepta: Ko je srušio mit o bezbednoj mreži?

Revolucija u razmišljanju dogodila se 2010. godine kada je Džon Kindervag, tadašnji analitičar uticajne kompanije Forrester Research, formulisao paradigmatsku politiku poznatu kao Zero Trust ili nulto poverenje. Osnovna premisa ovog pristupa deluje radikalno, ali je u praksi spasonosna: ne veruj nikome po difoltu – ni korisniku, ni uređaju, pa čak ni administratoru koji već sedi u centralnom registru.

Prelazak sa tradicije na novu bezbednosnu kulturu uslovljen je i radikalnom promjenom načina rada. Kancelarije sa fiksnim IP adresama ustupile su mesto hibridnom modelu poslovanja gde se poslovni dokumenti razmenjuju iz kafića, sa aerodroma, preko privatnih pametnih telefona i udaljenih klaud servera. U takvom ekosistemu, klasična perimetratna odbrana postaje rupa na situ.

Kako funkcioniše arhitektura bez pretpostavljenog poverenja?

Implementacija nultog poverenja počiva na tri neprikosnovena stuba koja transformišu pasivni sistem u aktivnog čuvara korporativne imovine:

• Kontinuirana, a ne jednokratna verifikacija: Identitet se ne potvrđuje samo na ulazu. Sistem konstantno preispituje ko je sa druge strane žice, analizirajući kontekst poput geografske lokacije, doba dana, tipa uređaja i ponašajnih obrazaca. Ukoliko se prepoznati korisnik odjednom uloguje sa druge hemisfere ili zatraži masivan preuzim dokumenta, sistem automatski blokira akciju ili zahteva višefaktorsku potvrdu.

• Princip najmanjeg privilegovanog pristupa (Least Privilege): Zaposleni i aplikacije dobijaju isključivo ona ovlašćenja koja su im neophodna za obavljanje konkretnog zadatka. Računovođa nema šta da traži u administrativnim kodovima, niti logistički softver mora da ima uvid u personalne dosjee kadrova. Na ovaj način, ukoliko i dođe do kompromitacije jednog naloga, šteta ostaje striktno izolovana.

• Neophodni nadzor i telemetrija: Savremeni bezbednosni alati u realnom vremenu prate anomalije u saobraćaju. Svako odstupanje od uobičajenog ritma rada diže crvenu alarmnu lampicu pre nego što incident preraste u katastrofalnu curenje podataka.

Od korporativnih servera do pametnih telefona: Primena u svakodnevici

Iako terminologija zvuči kao ekskluzivni žargon IT stručnjaka, logika nultog poverenja predstavlja preko potrebnu životnu veštinu za svakog digitalnog građanina. U vremenu hiper-sofisticiranih fišing kampanja, lažnih poruka dostavnih službi i imitiranja korporativnih mejlova, podrazumevano poverenje direktno vodi u finansijsku propast.

Kada nam stigne hitan zahtev za uplatu navodno od banke, prijatelja ili rođaka sa sumnjivog broja, refleksna reakcija mora biti verifikacija drugim kanalima. Princip nultog poverenja u ličnom kontekstu ne sugeriše paranoju, već kognitivnu higijenu: u svetu gde svako može da se lažno predstaviti iza ekrana, zdrava doza sumnje je najbolji štit koji posedujemo.

Foto: Freepik

Autor: Portal ObjektivNI.rs