Zero Trust arxitekturasi va ISO 27001 — yanada ishonchli AXBT qurish

Zero Trust arxitekturasi nima?

Zero Trust arxitekturasi (ZTA) bitta asosiy taxminga qurilgan xavfsizlik modeli: hech qanday foydalanuvchi, qurilma yoki tarmoq segmentiga, korporativ perimetr ichida yoki tashqarisida bo'lishidan qat'iy nazar, tabiiy ravishda ishonilmasligi kerak. Tushuncha dastlab 2010-yilda Forrester Research tomonidan rasmiy shaklga keltirilgan va keyinchalik NIST SP 800-207 da kodlangan bo'lib, nazariy doiradan murakkab, doimiy tahdidlarga duch keladigan tashkilotlar uchun operatsion zaruriyatga aylandi.

Foydalanuvchi tarmoq chekkasida autentifikatsiya qilinganidan keyin keng kirish huquqini beradigan eski perimetrga asoslangan modellardan farqli o'laroq, Zero Trust har bir kirish so'rovida tekshiruvni qo'llaydi. Har bir tranzaksiya identifikatsiya, qurilma holati, joylashuv, xatti-harakat tahlili va kirish so'ralayotgan resurs sezgirligi asosida baholanadi.

Zero Trust ning asosiy tamoyillari

• Hech qachon ishonmang, har doim tekshiring. Har bir kirish so'rovi manba tarmoq yoki oldingi autentifikatsiya holatidan qat'iy nazar real vaqtda autentifikatsiya va avtorizatsiya qilinadi.
• Minimal imtiyozli kirish. Foydalanuvchilar va tizimlar o'z funktsiyalarini bajarish uchun zarur bo'lgan minimal kirish darajasini oladi va bu kirish vaqt, kontekst va rol bo'yicha cheklangan.
• Buzilish sodir bo'lgan deb taxmin qiling. Arxitektura hujumchi allaqachon tarmoq ichida mavjud deb loyihalashtirilgan. Lateral harakat sukut bo'yicha mikrosegmentatsiya va qat'iy siyosat qo'llash orqali cheklanadi.
• Uzluksiz monitoring va tasdiqlash. Sessiyalar o'rnat-va-unut emas. Foydalanuvchi xatti-harakati, qurilma salomatligi va kirish naqshlari sessiyaning butun hayot davri davomida baholanadi.
• Ma'lumotlarga yo'naltirilgan xavfsizlik. Himoya tarmoq chegarasiga emas, ma'lumotning o'ziga ergashadi. Shifrlash, tasniflash va kirish siyosatlari aktiv bilan birga harakat qiladi.

Zero Trust ISO 27001 A ilovasi nazorat choralariga qanday mos keladi

ISO 27001 sertifikatiga ega tashkilot ichida Zero Trust ni qabul qilishning eng kuchli dalillaridan biri ZTA tamoyillari va ISO 27001:2022 da joriy etilgan A ilovasi nazorat choralari to'plami o'rtasidagi tabiiy moslashuvdir.

A.5.15 — Kirish nazorati. Ushbu nazorat chorasi tashkilotlardan axborot va boshqa tegishli aktivlarga mantiqiy va jismoniy kirish uchun qoidalarni belgilash va qo'llashni talab qiladi. Zero Trust buni har bir so'rov uchun kontekstga asoslangan, xavfga asoslangan kirish qarorlarini talab qilish orqali amalga oshiradi.

A.8.1 — Foydalanuvchi so'nggi qurilmalari. ISO 27001 foydalanuvchi so'nggi qurilmalari orqali saqlanadigan, qayta ishlanadigan yoki foydalanish mumkin bo'lgan axborotning himoya qilinishini talab qiladi. Zero Trust buni har bir so'nggi qurilmani potentsial buzilgan deb ko'rib chiqish orqali kengaytiradi. Qurilma salomatligi tekshiruvlari kirish berish uchun old shart bo'ladi.

A.8.5 — Xavfsiz autentifikatsiya. Standart axborot tasniflashiga mos xavfsiz autentifikatsiya texnologiyalari va protseduralarini majburiy qiladi. Zero Trust asosiy sifatida ko'p faktorli autentifikatsiyani (MFA) talab qiladi va xavf signallariga asoslangan moslashuvchan autentifikatsiyani qo'shadi.

A.8.20 — Tarmoq xavfsizligi. Ushbu nazorat chorasi tarmoqlardagi axborotni himoya qilishni va qo'llab-quvvatlovchi axborot qayta ishlash ob'ektlarini himoya qilishni qamrab oladi. Zero Trust mikrosegmentatsiya, xizmatlar o'rtasida shifrlangan aloqa va dasturiy ta'minotga asoslangan perimetrlar orqali tarmoq zonalari ichidagi yashirin ishonchni bartaraf etadi.

Mikrosegmentatsiya: texnik asos

Mikrosegmentatsiya tarmoqni nozik zonalarga bo'lish va perimetr darajasida emas, ish yuki darajasida kirish siyosatlarini qo'llash amaliyotidir. Zero Trust muhitida mikrosegmentatsiya bitta ish yuki buzilgan taqdirda ham hujumchi qo'shimcha siyosat qo'llash nuqtalaridan o'tmasdan qo'shni tizimlarga lateral harakat qila olmasligini ta'minlaydi.

Amalga oshirish odatda quyidagi texnologiyalardan birini yoki bir nechtasini qo'llaydi:

• Gipervizor yoki konteyner darajasida siyosat qo'llaydigan dasturiy ta'minotga asoslangan tarmoq (SDN) platformalari
• Markazlashtirilgan siyosat mexanizmlari orqali boshqariladigan xost asosidagi xavfsizlik devorlari
• Mikroservislar o'rtasida o'zaro TLS (mTLS) ni qo'llaydigan xizmat mesh arxitekturalari
• Kubernetes yoki bulut provayder muhitlarida bulutga xos xavfsizlik guruhlari va tarmoq siyosatlari

Amalga oshirish yo'l xaritasi

Zero Trust ga o'tish yagona loyiha emas — bu vaqt o'tishi bilan rivojlanadigan strategik dastur. Quyidagi yo'l xaritasi allaqachon ISO 27001 sertifikatiga ega bo'lgan va mavjud AXBT ga Zero Trust tamoyillarini qo'shmoqchi bo'lgan tashkilotlar uchun amaliy ketma-ketlikni taqdim etadi.

1. Joriy holatni baholang. Mavjud kirish nazorati mexanizmlarini, tarmoq arxitekturasini va identifikatsiyani boshqarish imkoniyatlarini Zero Trust tamoyillariga nisbatan xaritalang.
2. Himoya yuzalarini aniqlang. Butun tarmoqni bir vaqtda himoya qilishga urinish o'rniga, eng yuqori darajadagi himoyani talab qiladigan muhim ma'lumotlar, ilovalar, aktivlar va xizmatlarni (DAAS) aniqlang.
3. Identifikatsiyaga yo'naltirilgan nazorat choralarini joriy eting. MFA ni joylashtiring yoki kuchaytiring, shartli kirish siyosatlarini amalga oshiring va identifikatsiya provayderlarini birlashtiring.
4. Mikrosegmentatsiyani joylashtiring. Yuqori qiymatli himoya yuzalaridan boshlang va bosqichma-bosqich mikrosegmentatsiyani muhit bo'ylab kengaytiring.
5. Uzluksiz monitoringni yoqing. Zero Trust telemetriyasini SIEM ga integratsiya qiling, xulq-atvor bazaviy ko'rsatkichlarini o'rnating va umumiy tahdid stsenariylari uchun avtomatlashtirilgan javob playbuklarini sozlang.
6. AXBT hujjatlarini yangilang. Qo'llanilishi bayonotingizni (SoA), xavflarni davolash rejalarini va ichki siyosatlarni siz amalga oshirgan Zero Trust nazorat choralarini aks ettirish uchun qayta ko'rib chiqing.
7. Takrorlang va yetiltiring. Zero Trust doimiy yaxshilash modeli. Yetukligingizni muntazam baholang, himoya yuzalarini kengaytiring va siyosatlarni tahdid razvedkasi va operatsion fikr-mulohazalar asosida takomillashtiring.

AXBT uchun foyda

• Kamaytirilgan hujum yuzasi. Yashirin ishonchni bartaraf etish va minimal imtiyozli kirishni qo'llash orqali muhitingiz orqali foydalanish mumkin bo'lgan yo'llar soni sezilarli kamayadi.
• Kuchli audit dalillari. Zero Trust har bir kirish qarori haqida boy, batafsil jurnallarni yaratadi, bu nazorat va qayta sertifikatsiya auditlari paytida nazorat choralari samaradorligini namoyish etishni osonlashtiradi.
• Yaxshilangan hodisalarni cheklash. Mikrosegmentatsiya va uzluksiz tekshiruv xavfsizlik hodisasining ta'sir doirasini cheklaydi.
• Me'yoriy moslashuv. Ko'pgina paydo bo'layotgan me'yoriy hujjatlar — NIS2, DORA va sektorga xos doiralar — Zero Trust tamoyillariga havola qiladi yoki ularni nazarda tutadi.
• Biznesni qo'llab-quvvatlash. Zero Trust an'anaviy VPN asosidagi kirish modellarining ishqalanishisiz xavfsiz masofaviy ishlash, bulutga ko'chish va uchinchi tomon hamkorligini qo'llab-quvvatlaydi.

Xulosa

Zero Trust arxitekturasi va ISO 27001 raqobatlashuvchi doiralar emas — ular bir-birini to'ldiruvchi. ISO 27001 Zero Trust ga operatsion intizom beradigan boshqaruv tuzilmasi, xavflarni boshqarish metodologiyasi va audit doirasini taqdim etadi. Zero Trust o'z navbatida ISO 27001 nazorat choralarini amalda yanada samarali qiladigan texnik arxitektura va dizayn tamoyillarini taqdim etadi.

Axborot xavfsizligini jiddiy qabul qiladigan tashkilotlar uchun savol endi Zero Trust ni qabul qilish kerakmi emas, balki o'tish qanchalik tez boshlanishi mumkinligi. Identifikatsiyaga yo'naltirilgan nazorat choralaridan boshlash va bosqichma-bosqich mikrosegmentatsiya va uzluksiz tekshiruvni qo'shish har bir bosqichda xavfsizlik yaxshilanishlarini ta'minlaydigan tasdiqlangan, past xavfli yondashuvdir.