เดิมที ความปลอดภัยทางไซเบอร์ถือเป็นอุตสาหกรรมที่ถูกครอบงำด้วยอุปสรรค ยิ่งเทคโนโลยีดีเท่าไร การแยกคนดีออกจากคนเลว และสร้างประตู คูน้ำ และกำแพงทุกชนิดก็ยิ่งดีเท่านั้น บริษัทต่างๆ ใช้จ่ายมากกว่า 120 พันล้านยูโรในปี 2018 เพื่อป้องกันการโจมตี แต่การละเมิดยังคงมีอยู่: ประมาณ 765 ล้านคนได้รับผลกระทบจากการโจมตีทางไซเบอร์ในเดือนเมษายน พฤษภาคม และมิถุนายนเพียงปีที่แล้ว
บริษัทต่างๆ เริ่มตระหนักว่าเทคโนโลยีเพียงอย่างเดียวไม่สามารถขจัดความเสี่ยงหรือรับประกันความปลอดภัยของข้อมูลของตนได้ พวกเขาเริ่มเห็นรูปแบบดั้งเดิมในการประเมินซัพพลายเออร์หลายสิบรายอย่างละเอียดถี่ถ้วนเป็นเวลาหลายเดือน กลายเป็นงานของ Sisyphean โดยไม่ได้ใช้กลยุทธ์และแนวทางปฏิบัติที่เหมาะสมก่อน สำหรับหลายๆ คน สิ่งนี้หมายถึง Zero Trust
Zero Trust กลายเป็นคำศัพท์ที่ได้รับความนิยมในช่วงสองปีที่ผ่านมา เนื่องจากได้รับความนิยมมากขึ้นในหมู่ CSO และผู้ให้บริการเทคโนโลยี ปรัชญาหลักของ Zero Trust คือ "อย่าวางใจ ตรวจสอบอยู่เสมอ" และดำเนินการบนหลักการที่ว่าคุณไม่สามารถแยก "คนดี" ออกจาก "คนเลว" ได้ แนวทางดั้งเดิมที่เน้นไปที่การสร้างขอบเขตที่มั่นคงเพื่อป้องกันไม่ให้คนร้ายออกไปใช้ไม่ได้ผลอีกต่อไป ทรัพยากร (ข้อมูล แอปพลิเคชัน โครงสร้างพื้นฐาน อุปกรณ์) เป็นแบบผสมผสานมากขึ้นหรืออยู่นอกขอบเขตนี้โดยสิ้นเชิง ด้วย Zero Trust ความไว้วางใจจะถูกลบออกจากสมการและมุ่งเน้นไปที่การตรวจสอบอย่างต่อเนื่อง
มีผู้เช่าหลักสามราย:
- ตรวจสอบผู้ใช้ทุกคนทุกครั้ง
- ตรวจสอบอุปกรณ์แต่ละเครื่อง
- จำกัดการเข้าถึงอย่างชาญฉลาด
เป็นแนวทางแบบองค์รวมและเชิงกลยุทธ์ในการรักษาความปลอดภัยที่ทำให้แน่ใจว่าทุกคนและอุปกรณ์ที่ได้รับอนุญาตให้เข้าถึงเครือข่าย แอปพลิเคชัน หรือบริการคือใครและสิ่งที่พวกเขาพูด
เมฆพัดมารอบด้าน
Zero Trust ยึดมั่นในจิตวิญญาณแห่งการรักษาความปลอดภัยอย่างรวดเร็ว ส่วนหนึ่งเป็นเพราะคำมั่นสัญญาของอุปสรรคทางเทคโนโลยีในฐานะทางออกที่ดีที่สุดในการหยุดยั้งภัยคุกคามและลดความเสี่ยงกลายเป็นเรื่องที่เป็นไปไม่ได้ในยุคคลาวด์ ในขณะที่บริษัทต่างๆ ย้ายโครงสร้างพื้นฐานและบริการไปยังระบบคลาวด์มากขึ้นเรื่อยๆ นำอุปกรณ์เคลื่อนที่มาใช้มากขึ้นเรื่อยๆ และสนับสนุนพนักงานระยะไกลทุกประเภท พวกเขาจึงสร้างช่องโหว่ (หรืออย่างน้อยที่สุดอาจเป็นไปได้) ภายในไฟร์วอลล์ของตนเอง
ฉันได้ไปบรรยายที่ Zero Trust Summit เมื่อปีที่แล้ว และเฝ้าดู Dr. Chase Cunningham นักวิเคราะห์ของ Forrester บอกผู้ฟังซ้ำแล้วซ้ำเล่าว่าในยุคของการเปลี่ยนแปลงทางดิจิทัล ขอบเขตไม่มีอยู่อีกต่อไป วิธีการรักษาความปลอดภัยแบบเก่าไม่เข้ากันกับความซับซ้อนของภัยคุกคามในปัจจุบัน
“ผู้คนจะพูดว่า 'เราทำสิ่งต่างๆ เรากำลังดำเนินการเรื่องนี้อยู่” ดร. คันนิงแฮมกล่าว “ลองเดาดูสิว่ากลยุทธ์ของ Target คืออะไรก่อนเกิดการละเมิด? ป้องกัน ตรวจจับ ขัดขวาง ตอบสนอง ลองเดาดูสิว่ากลยุทธ์ของ OMB คืออะไรก่อนเกิดการละเมิด? ป้องกัน ตรวจจับ ขัดขวาง ตอบสนอง มันไม่ใช่กลยุทธ์
"หากคุณยืนขึ้นและพูดว่า 'กลยุทธ์ด้านความปลอดภัยของเราคือการทำงานไปสู่โครงสร้างพื้นฐาน Zero Trust' “ก็แค่นั้นแหละ” เขากล่าวต่อ "ประโยค. ใครๆ ก็สามารถอยู่เบื้องหลังเรื่องนี้ได้
ทุกอย่างเกี่ยวกับบริบท
ในกรณีที่ไม่มีขอบเขตที่มีประสิทธิภาพ บริษัทอาวุธที่ยิ่งใหญ่ที่สุดที่มีต่อผู้ไม่ประสงค์ดีก็คือข้อมูล โดยแก่นแท้แล้ว Zero Trust เป็นเรื่องเกี่ยวกับข้อมูล โดยมีบริบทที่เพียงพอเกี่ยวกับผู้ใช้ อุปกรณ์ และพฤติกรรมเพื่อระบุอย่างชัดเจนว่าใครบางคนคือสิ่งที่พวกเขาพูด
ดังที่คันนิงแฮมกล่าวไว้ นี่เป็นสิ่งสำคัญในยุคของระบบคลาวด์และโทรศัพท์มือถือ เมื่อสิบปีที่แล้ว กลยุทธ์ด้านความปลอดภัยขึ้นอยู่กับสัญญาณเดียว: คำขอมาจากภายในหรือภายนอกไฟร์วอลล์หรือไม่ และมันก็ได้ผล ! ผู้ใช้ส่วนใหญ่เชื่อมต่อกับเครือข่าย แอปพลิเคชัน และบริการจากเดสก์ท็อปในที่ทำงาน หรืออาจจากแล็ปท็อปที่บ้านผ่าน VPN
กรณีนี้ไม่ได้. ผู้คนจำเป็นต้องเข้าถึงจากโต๊ะของตน ระหว่างต่อคิวซื้อกาแฟ หรือจากความสูง 30 ฟุตบนท้องฟ้าบนเครื่องบิน เชื่อมต่อจากเดสก์ท็อป แล็ปท็อป โทรศัพท์ และแท็บเล็ต แทนที่จะต้องใช้สัญญาณเดียว สุดท้ายต้องใช้หลายร้อยสัญญาณในการตัดสินใจว่าจะให้สิทธิ์ผู้อื่นเข้าถึงหรือไม่ Zero Trust ช่วยให้มั่นใจว่ามีการจัดเตรียมบริบทให้กับผู้ใช้ทุกคนทุกครั้ง
มีคนมีข้อมูลรับรองที่ถูกต้อง แต่พวกเขาอยู่ในอุปกรณ์ที่เชื่อถือได้หรือไม่ พวกเขามีข้อมูลประจำตัวและอยู่ในอุปกรณ์ที่เชื่อถือได้ แต่อยู่ในตำแหน่งที่ผิดปกติหรือเข้าสู่ระบบในเวลาที่ผิดปกติหรือไม่ สัญญาณเหล่านี้เป็นบริบทอันทรงคุณค่าที่ช่วยรักษาข้อมูลให้ปลอดภัยในสภาพแวดล้อมปัจจุบัน แนวทาง Zero Trust ควบคู่ไปกับเทคโนโลยีที่เหมาะสม ช่วยให้มั่นใจได้ว่าบริษัทต่างๆ จะสามารถตอบคำถามเหล่านี้ได้
ตามรายงานการละเมิดข้อมูลประจำปี 2018 ของ Verizon การละเมิดมากกว่า 81% เกิดจากรหัสผ่านที่อ่อนแอหรือถูกขโมย ด้วยข้อมูลนี้ บริษัทจะไม่รับผิดชอบในการพิจารณาตนเองว่าได้รับการปกป้องด้วยชื่อผู้ใช้และรหัสผ่านเท่านั้น เนื่องจากข้อมูลประจำตัวออนไลน์มีความซับซ้อนมากขึ้น และมีความสำคัญมากขึ้นต่อธุรกิจและผู้บริโภค แนวทาง Zero Trust จึงกลายเป็นที่ฝังแน่นอยู่ในคำศัพท์ของ CSO ทั้งหมด
ใช่ มันเป็นคำที่นิยมกันทุกวันนี้ แต่ก็เป็นกลยุทธ์ความปลอดภัยทางไซเบอร์ที่สำคัญสำหรับยุคคลาวด์ด้วย
Corey Williams รองประธานฝ่ายกลยุทธ์ของ Idaptive (เปิดในแท็บใหม่)